<div dir="ltr"><div dir="ltr">Thanks, both. That wiki page was very helpful and with a bit of experimentation I was able to verify the AuthnRequest signature with the following command:<div><br>xmlsec1 --verify --pubkey-cert-pem old.pem --id-attr:ID urn:oasis:names:tc:SAML:2.0:protocol:AuthnRequest authnrequest.xml</div><div><br></div><div>Satisfyingly, and as expected, verification fails using the key contained in their metadata.<br><br>I'm sadly aware that this is likely a waste of time. Nevertheless, I can now make one last attempt to explain the issue to the SP in a way that they can verify themselves. After that, I shall simply ignore their request to update their metadata and/or configure the IdP to ignore their signed authn requests.</div><div><br></div><div>Cheers,</div><div><br></div><div>Max</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Mon, 29 Nov 2021 at 13:51, Peter Schober <<a href="mailto:peter.schober@univie.ac.at" target="_blank">peter.schober@univie.ac.at</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">* Max Spicer via users <<a href="mailto:users@shibboleth.net" target="_blank">users@shibboleth.net</a>> [2021-11-29 14:17]:<br>
> I have verified that our IdP successfully validates the signature in the<br>
> authn requests when it has the correct key, and fails when given the "new"<br>
> key. Can anyone recommend a tool / process to reproduce these results<br>
> outside of the IdP?<br>
<br>
FWIW, this wiki page documents a few tools to validate signatures with:<br>
<a href="https://shibboleth.atlassian.net/wiki/spaces/CONCEPT/pages/928645443/MetadataCorrectness#MetadataCorrectness-SignatureVerification" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/spaces/CONCEPT/pages/928645443/MetadataCorrectness#MetadataCorrectness-SignatureVerification</a><br>
<br>
-peter<br>
-- <br>
For Consortium Member technical support, see <a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div><div><br></div>
</div>