<div dir="ltr">Yes, it was strange to me that a bad encryption certificate would result in a failure to validate a signature when the signature certificate was valid.  I hypothesized the SP might just throw out all the certificates when it hit a bad one and give up on the whole operation, but after further digging, I don't think that was the case.<div><br></div><div>In the post-mortem and after I posed the question, I think the ultimate issues were two: both a bad encryption certificate and a signature that was being applied to the wrong source data(they were apparently signing just a fixed SignedInfo element rather than the Response element, even though the reference was to the XML ID of the Response), so there were two errors that were unrelated to each other.</div><div><br></div><div>The joys of someone else rolling their own crypto...</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Tue, Aug 18, 2020 at 10:23 PM Paul B. Henson <<a href="mailto:henson@cpp.edu" target="_blank">henson@cpp.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">> From: Nate Klingenstein<br>
> Sent: Tuesday, August 18, 2020 11:50 AM<br>
[...]<br>
> 2020-08-18 18:30:49 ERROR XMLTooling.KeyInfoResolver.Inline [1] [default]:<br>
> caught XML-Security exception loading certificate: OpenSSL:X509 - Error<br>
> translating Base64 DER encoding into OpenSSL X509 structure<br>
[...]<br>
> unable to load certificate<br>
<br>
Dunno, looks like bad certificate data in the metadata to me. If openssl can't parse it, it's pretty clearly not valid? I assume it parses the certificates when it reads the metadata, not when it actually needs the certificate to do any cryptography.<br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>