<div dir="ltr">Ah yes, the usual suspect: 4096 cert being used by the SP, not updated from prior 2048 cert in metadata at the IdP. In this case, oversight on my IdP side not to incorporate the updated stronger cert for a new instance of the SP.<div><br></div><div>David</div></div><br><div class="gmail_quote gmail_quote_container"><div dir="ltr" class="gmail_attr">On Wed, Aug 13, 2025 at 8:52 AM Cantor, Scott <<a href="mailto:cantor.2@osu.edu">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">I would guess, however rusty my crypto, that it's probably getting SHA-256 as the digest in the signature and it's getting a SHA-512 digested value. They're signing with alg A and signaling alg B basically (and of course, they shouldn't sign at all, problem solved).<br>
<br>
-- Scott<br>
<br>
<br>
<br>
</blockquote></div>