AuthnRequest Signature validation check error

[MCalvano]

Implementando SPID per una PA con già un metadata, abbiamo per errore utilizzato il certificato con cui è stato firmato il metadata EntityDescriptor.Signature.KeyInfo.X509Data.X509Certificate anziché il certificato per la verifica della request EntityDescriptor. SPSSODescriptor.KeyDescriptor.KeyInfo.X509Data.X509Certificate.

Utilizzando il validator, insieme a @damikael ci siamo accorti che in caso di request inviata in Binding: HTTP-Redirect ci viene correttamente segnalato l'errore AuthnRequest Signature validation mentre se si invia la request Binding: HTTP-POST il check passa senza problemi.

Secondo @damikael in caso di Binding: HTTP-POST la firma della AuthnRequest viene verificata con il certificato auto contenuto e non con il certificato dichiarato nel metadata.

[peppelinux]

I certificati utilizzati sono quelli prelevati dal metadata, quelli contenuti nella richiesta non vengono considerati

vedi qui se riesci a capire quali elementi vadano considerati nella tua analisi
https://github.com/italia/spid-sp-test/blob/main/src/spid_sp_test/authn_request.py#L299

[peppelinux]

poi mi chiedo come mai la verifica della firma della authn request ricada tra gli "extra"

[damikael]

poi mi chiedo come mai la verifica della firma della authn request ricada tra gli "extra"

Ciao @peppelinux , la verifica della firma è inserita sia nel set di test "Strict" che in quello "Extra", in ogni caso è un'impostazione con cui viene richiamato spid_sp_test da spid-saml-check

spid_sp_test --metadata-url file://.../sp-metadata.xml --authn-url file://.../authn-request.dump -rf json -o ...
spid_sp_test --metadata-url file://.../sp-metadata.xml --authn-url file://.../authn-request.dump -rf json -o ... --extra

[damikael]

https://stackoverflow.com/questions/53416673/how-to-force-libxml1-to-ignore-cert-in-file-and-use-a-cert-i-pass-it-on-the-comm

[peppelinux]

Il comando è qui per HTTP POST
https://github.com/italia/spid-sp-test/blob/main/src/spid_sp_test/authn_request.py#L405

--pubkey-cert-pem risulta commentato per ricrdo che all'epoca fosse stato riscontrato inconsistente all'uso.

un test con una firma errata è qui proposto
https://github.com/italia/spid-sp-test/blob/main/tests/test_02_authn.py#L38

partendo da questo esempio o da altro è possibile generare una authn request firmata con una chiave diversa rispetto a quella configurata nel metadata, ed evidenziare l'errore. Dopodiché la PR dovrebbe includere un eventuale integrazione nel comando xmlsec1 per la risoluzione definitiva