Hej Kasper

Men hvordan skal vi så håndter det, når der er styr på sikkerheden, og vi bruger loadbalancer/firewall der foretager https offloading, således at der inden for murene køres http?

Hvordan kan vi 'disable' denne sikkerheds feature, så vi kan få vores site til at virke igen? Er der en setting i SAML der kan bruges til det?

Jacob Mogensen
mySupply ApS

Hvad jeg lige kan finde på nettet, foreslå de fleste at man gør noget ala dette, ændre i file https://svn.softwareborsen.dk/oiosaml.net/trunk/src/dk.nita.saml20/dk.nita.saml20/Session/SessionStore.cs

fra dette kode

if (!HttpContext.Current.Request.IsSecureConnection)
{
throw new Saml20Exception("The service provider must use https since session cookie is not allowed on a unsecure transport");
}

til dette

bool loadbalancerReceivedSSLRequest = string.Equals(Request.Headers["X-Forwarded-Proto"], "https");
bool serverReceivedSSLRequest = HttpContext.Current.Request.IsSecureConnection;

if (loadbalancerReceivedSSLRequest || serverReceivedSSLRequest)
{
// SSL in use.
}
else
{
// SSL not in use.
throw new Saml20Exception("The service provider must use https since session cookie is not allowed on a unsecure transport");
}

Så sikkere man sig at enten en balance server styre SSL, eller køre SSL direkte (balance serveren skal så indsætte headeren "X-Forwarded-Proto").

Er der nogen mulighed for at få dette implementeret (og ny release)?

mvh

Jacob Mogensen
mySupply ApS

(kode baseret på dette indlæg: https://stackoverflow.com/questions/12725859/in-https-request-request-issecureconnection-return-false/27526290)

Hej Jacob

Der er desværre ingen mulighed for at konfigurere om oiosaml session cookien skal være secure eller ej. Den skal naturligvis altid være secure.

Jeg lægger en opgave på backloggen der omhandler at gøre det konfigurerbart at bestemme om oiosaml session cookien skal være secure eller ej (og dermed åbne op for at SP kan køre i http mode). Den vil naturligvis være secure by default.

Hvis man så vælger at ens SP skal køre med en unsecure session cookie ... er det vigtigt at ens load balancer der understøtter https offloading kan ændre oiosaml session cookien til at være secure "on-the-fly".

Der er ikke planlagt nogen release på denne side af sommerferien. Mulighederne indtil en release er følgende:

1. Køre https på indersiden indtil næste release.

2. Lave ændringen selv og lave et pull request. Så skal jeg gøre mit bedste for at det kommer hurtigere med i en release.

Vh

Kasper Møller

Hej

OIOSAML.Net kan ikke benyttes i et ASP.Net Core projekt.

En understøttelse af ASP.Net Core ligger på backloggen.

Indtil OIOSAML.Net understøtter ASP.Net Core, kan OIOSAML.Net isoleres i et selvstændigt projekt der kører .Net framework.

Vh

Kasper V. Møller