Ancestors

Toot

Written by vandox on 2025-01-09 at 17:39

OH: Shibboleth ist so ein Uni-Kink

[#]entropialeaks

=> More informations about this toot | More toots from vandox@chaos.social

Descendants

Written by leyrer on 2025-01-09 at 17:44

@vandox ich kenn auch österr. Behörden damit ....

=> More informations about this toot | More toots from leyrer@chaos.social

Written by jaxu@home on 2025-01-09 at 19:31

@vandox

Bis auf das blöde Java und XML finde ich es echt klasse. Würde gerne alle unsere Dienste dran hängen.

=> More informations about this toot | More toots from jaxu@mastodon.online

Written by srslypascal on 2025-01-09 at 21:18

@jaxu @vandox

Es ist letztlich ein absurder und vollständig unnötiger Komplexitätslayer, dessen theoretisch mögliche Zusatzfeatures in der Praxis flächendeckend nicht benutzt benutzt werden (und i.d.R. vermutlich nicht mal implementiert sind), sodass am Ende einfach nur eine überflüssige "not invented here"-Alternative zu OAuth 2.0 übrig bleibt.

=> More informations about this toot | More toots from srslypascal@chaos.social

Written by srslypascal on 2025-01-09 at 21:23

@jaxu @vandox

Schlimmer noch: Diese Komplexität hat sehr reale Kosten, Nachteile und Konsequenzen, die dazu führen, dass die allermeisten Leute einfach LDAP (mit sehr viel schlechteren Sicherheitseigenschaften) benutzen, weil der ganze Shibboleth-Quatsch nirgendwo verständlich dokumentiert und übersichtlich zusammengefasst ist.

=> More informations about this toot | More toots from srslypascal@chaos.social

Written by srslypascal on 2025-01-09 at 21:30

@jaxu @vandox

Konkrete Beispiele:

• Gar nicht mal so wenige SAML-/Shibboleth-Implementierungen können nicht mit mehreren Schlüsselpaaren/Zertifikaten pro IDP bzw. pro SP umgehen, sodass Zertifikatswechsel des IDP bzw. des SP manuelle Eingriffe erfordern.

• Viele Leute wissen nicht, dass man statt WebPKI-Zertiifkaten theoretisch auch selbst signierte Zertifikate mit viel längerer Laufzeit verwenden kann, und haben dadurch 2 manuelle Eingriffe pro Jahr (s.o.), anstatt nur 1x alle 3-4 Jahre.

=> More informations about this toot | More toots from srslypascal@chaos.social

Written by jaxu@home on 2025-01-10 at 09:26

@srslypascal @vandox

Hmm... ich gehe mal davon aus, dass der Zertifikats-Punkt an allen an der DFN-AAI teilnehmenden deutschen Hochschulen bekannt ist: https://doku.tid.dfn.de/de:certificates

Aber ja, es gibt non-Shibboleth SPs, die während des Zertifikats-Wechsels schon mal Probleme machen.

Mit der Doku von shibboleth.net, DFN und SwitchAAI bin ich eigentlich recht gut zurande gekommen.

Im Uni-Umfeld wird Shibboleth halt auch genutzt, was es als erstes da war...

=> More informations about this toot | More toots from jaxu@mastodon.online