Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- de:shibsp [2022/04/14 14:23] – Wolfgang Pempe
+++ de:shibsp [2024/02/15 10:07] (aktuell) – [Shibboleth SP (3.x)] Wolfgang Pempe
@@ Zeile 40: / Zeile 40: @@
    <!-- Metadaten der Test-Föderation aktivieren -->
    <!-- den Pfad zum Zertifikat zur Signaturüberprüfung den lokalen Gegebenheiten anpassen! -->
-   <MetadataProvider type="XML" url="http://www.aai.dfn.de/fileadmin/metadata/dfn-aai-test-metadata.xml"
+   <MetadataProvider type="XML" url="http://www.aai.dfn.de/metadata/dfn-aai-test-metadata.xml"
          validate="true" backingFilePath="dfn-aai-test-metadata.xml" reloadInterval="3600">
-       <MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem"/>
+       <MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" verifyBackup="false"/>
    </MetadataProvider>
    ...
@@ Zeile 55: / Zeile 55: @@
 Zur MetadataProvider-Konfiguration für die Produktivumgebung der DFN-AAI siehe unter [[de:production#beispiel_sp|Produktivbetrieb]].
+<callout type="danger" title="Wichtig: Im Sessions-Element unbedingt redirectLimit auf 'host' oder 'exact' setzen!">
+Achten Sie bitte unbedingt darauf, dass in **''shibboleth2.xml''** in allen **''<Sessions>''**-Elementen das XML-Attribut **''redirectLimit''**
+  - gesetzt wird und
+  - den Wert **''host''** oder **''exact''** erhält! (ggf. in Kombination mit ''allow'')
+Auf diese Weise wird ein Problem mit offenen Weiterleitungen ("Open Redirect") verhindert, das bspw. Phishing-Angriffe wirkungsvoller machen kann, vgl. https://shibboleth.atlassian.net/browse/SSPCPP-714.
+Weitere Informationen zu Konfigurationsmöglichkeiten für das ''<Sessions>''-Element sind im [[https://shibboleth.atlassian.net/wiki/spaces/SP3/pages/2065334342/Sessions|Shibboleth-Wiki dokumentiert]].
+</callout>
 ===Filtermechanismen===
@@ Zeile 68: / Zeile 77: @@
 ...
    <MetadataProvider type="XML"
-         url="http://www.aai.dfn.de/fileadmin/metadata/dfn-aai-idp-metadata.xml"
+         url="http://www.aai.dfn.de/metadata/dfn-aai-idp-metadata.xml"
          validate="true" backingFilePath="dfn-aai-idp-metadata.xml" reloadInterval="3600">
-      <MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" />
+      <MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" verifyBackup="false" />
       <MetadataFilter type="Include">
          <Include>https://idp.uni-beispiel1.de/idp/shibboleth</Include>
@@ Zeile 92: / Zeile 101: @@
 ...
    <MetadataProvider type="XML"
-         url="http://www.aai.dfn.de/fileadmin/metadata/dfn-aai-edugain+idp-metadata.xml"
+         url="http://www.aai.dfn.de/metadata/dfn-aai-edugain+idp-metadata.xml"
          validate="true" backingFilePath="dfn-aai-edugain+idp-metadata.xml" reloadInterval="3600">
-      <MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" />
+      <MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" verifyBackup="false" />
       <MetadataFilter type="Include" matcher="RegistrationAuthority">
          <registrationAuthority>http://rr.aai.switch.ch/</registrationAuthority>
@@ Zeile 108: / Zeile 117: @@
 ...
    <MetadataProvider type="XML"
-         url="http://www.aai.dfn.de/fileadmin/metadata/dfn-aai-edugain+idp-metadata.xml"
+         url="http://www.aai.dfn.de/metadata/dfn-aai-edugain+idp-metadata.xml"
          validate="true" backingFilePath="dfn-aai-edugain+idp-metadata.xml" reloadInterval="3600">
-      <MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" />
+      <MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" verifyBackup="false" />
       <MetadataFilter type="Exclude" matcher="RegistrationAuthority">
          <registrationAuthority>http://xyz.qq</registrationAuthority>

sp