<div dir="ltr"><div dir="ltr">Am I right in thinking that the v4 equivalent of this is the alwaysVerifyTrustedSource attribute on a SignatureValidation filter? This defaults to false so will trust a FileBackedHTTPMetadataProvider's backup file by default.</div><div dir="ltr"><br></div><div dir="ltr"><a href="https://shibboleth.atlassian.net/wiki/spaces/IDP4/pages/1265631654/SignatureValidationFilter">https://shibboleth.atlassian.net/wiki/spaces/IDP4/pages/1265631654/SignatureValidationFilter</a><br><div><br></div><div>Max Spicer</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Thu, 14 Apr 2022 at 10:33, Peter Schober via users <<a href="mailto:users@shibboleth.net">users@shibboleth.net</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">* Siddharth Satyakam via users <<a href="mailto:users@shibboleth.net" target="_blank">users@shibboleth.net</a>> [2022-04-13 19:18]:<br>
> When we are restarting our Shibd.service during regular<br>
> maintainance<br>
<br>
Adding verifyBackup="false" to your signature validation filter is all<br>
you need:<br>
<br>
  <MetadataFilter type="Signature" certificate="example.crt" verifyBackup="false"/><br>
<br>
The exception being the very first start of the SP (or after all<br>
cached files have disappeared for some reason; I'm imagining this may<br>
be more common on containerized deployments without proper volumes for<br>
the cache) -- there you'd either accept the very long startup time<br>
(since it's a new service) or resort to downloading and checking the<br>
signature yourself (e.g. using XmlSecTool or xmlsec1) and then moving<br>
the metadata into place.<br>
<br>
-peter<br>
-- <br>
For Consortium Member technical support, see <a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div><br clear="all"><div><br></div>-- <br><div dir="ltr" class="gmail_signature"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div style="font-size:small">Max Spicer - Identity Systems Developer</div><div style="font-size:small">IT Services, University of York<br></div></div></div></div></div></div></div>