search

italia / spid-saml-check

Tool di verifica implementazione SPID SAML
European Union Public License 1.2
71 stars 59 forks source link

Errore versione 1.8.0 - The Destination attribute SHOULD be the address to which the request has been sent but can also be the EnityID of IdP #168

Open davidegallesio opened 3 years ago

davidegallesio commented 3 years ago

Nella nuova versione 1.8.0 è apparso un inspiegabile errore (mai riscontrato prima) sulla validazione della risposta: The Destination attribute SHOULD be the address to which the request has been sent but can also be the EnityID of IdP (Av. SPID n.11)

image

Non mi risulta che il campo destination sia errato e ho l'errore sostituendo (pc94) sia con il numero di IP sia con localhost.

Questa è la mia Authnrequest: `<?xml version="1.0" encoding="UTF-8"?>

https://paghepa.alma-spa.it 1OiDfvQTJaK+OKKEYF4Z+4SGlBirLs7wO92uhmr08no= KV2jgzaErxqkSshu6gOXGxV82fOv14hmZZbKF5BKdajr5nH1lhEAL2dAGnZ1BNEZItbNibC+Ie8mA+GAurz+YOcFsOQb1mlaVdyNVK+BOR6tnwhlkSM3b+K/BYC0927mpW7XZtsDuZcHwXz3DkBMstGEed05rbeJn8S3hvA0XWWK5BWwNLo6bbbOXAC7B6PvdqlcSao/fMKsz2pPMB9hl4wpjD0vg5BE8WNLW2LgkhxpVlChzQ3f52I9VwOjW+ngIyeSinOZDgEJQN+nTayGOdUYrez/39mBcnUrgGxXTvHL2B3pX8hoOFQmwwzDI3WkrLQRLpc0o3Acs2iADKsaKw== zAfQ3Hi3tnQd9iz/qGz4zl5YZxbc59AwQAKF5gRswOltY34vBuI6RuM9stshFB2rnVMtKHh4EDou uEaa73A5VqtrPnIZws56Zy5wkDzDskrSzqeqmK9fSCFvqL/5c+EE2VDNMLBGmV6mC/UNA+qIFY7/ LetE73yNzh4ospvfuEq9JLA2x8Sw09bBHS2SrfT/CvRPpAgcdONEaS1BPz6EeITMTb7nVUklxT+3 4yyJmH/54I3m2Bb+R4ZAq18Jy99kSyjBHAE/ms86Q0lEQ3SpsFpHjo/SVVIPp3/zet0zyBz7v4Pw I/Lb2wVkL4BTSsAw5e3NDcSBvHAuKiu0MDM/fQ== AQAB MIIIIzCCBgugAwIBAgIIARlR2HSoFqcwDQYJKoZIhvcNAQENBQAwgegxCzAJBgNVBAYTAklUMQ0w CwYDVQQHDARSb21lMSYwJAYDVQQKDB1BZ2VuemlhIHBlciBsJ0l0YWxpYSBEaWdpdGFsZTEwMC4G A1UECwwnU2Vydml6aW8gQWNjcmVkaXRhbWVudG8gZSBwcm9nZXR0byBTUElEMSkwJwYDVQQDDCBQ cm9nZXR0byBTUElEIC0gU29nZ2V0dGkgcHJpdmF0aTEpMCcGCSqGSIb3DQEJARYacHJvdG9jb2xs b0BwZWMuYWdpZC5nb3YuaXQxGjAYBgNVBAUTEVZBVElULTk3NzM1MDIwNTg0MB4XDTIxMDcxNTAw MDAwMFoXDTM2MDcxNDIzNTk1OVowgc8xHDAaBgNVBAMME0FsbWEgQ2VudHJvIFNlcnZpemkxCzAJ BgNVBAYTAklUMRswGQYDVQQHDBJWaWxsYW5vdmEgTW9uZG92w6wxCzAJBgNVBAgMAkNOMRQwEgYD VQQKDAtBbG1hIFMucC5BLjEaMBgGA1UEYQwRVkFUSVQtMDA1NzIyOTAwNDcxJDAiBgNVBFMMG2h0 dHBzOi8vcGFnaGVwYS5hbG1hLXNwYS5pdDEgMB4GCSqGSIb3DQEJARYRcG9zdGFAYWxtYS1zcGEu aXQwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQDMB9DceLe2dB32LP+obPjOXlhnFtzn 0DBAAoXmBGzA6W1jfi8G4jpG4z2y2yEUHaudUy0oeHgQOi64RprvcDlWq2s+chnCznpnLnCQPMOy StLOp6qYr19IIW+ov/lz4QTZUM0wsEaZXqYL9Q0D6ogVjv8t60TvfI3OHiiym9+4Sr0ksDbHxLDT 1sEdLZKt9P8K9E+kCBx040RpLUE/PoR4hMxNvudVSSXFP7fjLImYf/ngjebYFv5HhkCrXwnL32RL KMEcAT+azzpDSURDdKmwWkeOj9JVUg+nf/N63TPIHPu/g/Aj8tvbBWQvgFNKwDDl7c0NxIG8cC4q K7QwMz99AgMBAAGjggLmMIIC4jAMBgNVHRMBAf8EAjAAMB0GA1UdDgQWBBSQmj6H3o5Pr/dOdjPh FBx4+RZ7gDAfBgNVHSMEGDAWgBScRTDETQ+g+iYPqdb8INYHbM5kVjAOBgNVHQ8BAf8EBAMCBsAw FgYDVR0SBA8wDYILc3BpZC5nb3YuaXQwQwYDVR0fBDwwOjA4oDagNIYyaHR0cHM6Ly9laWRhcy5h Z2lkLmdvdi5pdC9jcmwvY3JsX1NQSURfcHJpdl9TQS5jcmwwNwYIKwYBBQUHAQEEKzApMCcGCCsG AQUFBzABhhtodHRwczovL29jc3BfU0EuYWdpZC5nb3YuaXQwggHXBgNVHSAEggHOMIIByjAJBgcE AI5GAQYCMIGVBgQrTBAGMIGMMEQGCCsGAQUFBwICMDgaNkVsZWN0cm9uaWMgY2VydGlmaWNhdGUg Y29uZm9ybWluZyB3aXRoIEFHSUQgR3VpZGVsaW5lczBEBggrBgEFBQcCAjA4GjZDZXJ0aWZpY2F0 byBlbGV0dHJvbmljbyBjb25mb3JtZSBhbGxlIExpbmVlIGd1aWRhIEFnSUQwewYGK0wQBAMBMHEw NQYIKwYBBQUHAgIwKRonU1BJRDogZm9ybml0b3JlIGRpIHNlcnZpemkgKFNQKSBwcml2YXRvMDgG CCsGAQUFBwICMCwaKlNQSUQ6IHByaXZhdGUtc2VjdG9yIFNlcnZpY2UgUHJvdmlkZXIgKFNQKTAI BgYEAI96AQMwTQYEK0wQBDBFMEMGCCsGAQUFBwIBFjdodHRwczovL2VpZGFzLmFnaWQuZ292Lml0 L2Nwcy9BZ0lEX2VJREFTX3Jvb3RDQV9jcHMucGRmME8GBgQAjkYBBTBFMEMGCCsGAQUFBwIBFjdo dHRwczovL2VpZGFzLmFnaWQuZ292Lml0L2Nwcy9BZ0lEX2VJREFTX3Jvb3RDQV9jcHMucGRmMBEG CWCGSAGG+EIBAQQEAwIABzANBgkqhkiG9w0BAQ0FAAOCAgEAeKrSVRZwTA89YGLq2Brat+KhNSGy yW92Ty1naZEY6wbGZy5hJ3t34XQfyf9fwWmTneuJhRgwd0BY17pAbJxRP1qMtHBa4xuxH9S3qxQZ SYd72oY8sIeuxvgrW/18AtCJliYFF45r0OhhhJLQncketP1oFnQH19ImFuxPQGEEk7NKKt4jGxDs vximNucnvTeFAvjHpKOEDn+rao6koGdXVfQ6jP3j94YNrUlK7Qg2awxJd3LhDVpcXVQZUSGGvEnD oVtdfNjV/esD2r8cA58x95tcPgx/tBtJnB9A9I4ggEbrQK9iVaOsDPjvN9EJqnO9iLqje5RzXkla oHi2lCws0Jfp4tj/vNHgbQtOKdnlmN2fh0MrizLHZjBcQEju0Rc585LoazafNpp6vocs/WfD6tKp Z5HxXWc+ZyKlAMD5aTnPvlAd5wHLWPtwnrGTFe9NYH0Vqr//5+TZ0Q3shMQ8lxrFhCBeSotw7NwA /ytvpDLqfRsAs6ODxMivs5mjrMfP/1JLfT0LTdtAhyrAALESSdoea2f9uiqsyu+d1w5QqpbpqeQ9 xRskmXzeHmWQzNfx61ayfZwH93ZanrOv/iizNljILfrCwdWTwjhdpg/H9PwojWPRC2r42kn4o61O 5DfOVJmDNzOlc80YPNoaAuS7Uioj//H7LaATLoGiF+2wnwg= https://www.spid.gov.it/SpidL1 ` E' un errore della nuova versione o mi sfugge qualcosa?
damikael commented 3 years ago

Ciao @davidegallesio , se hai eseguito spid-saml-check senza modificare le configurazioni da IdP, probabilmente l'IdP Validator ha come EntityID e Host del server il valore localhost:8080, mentre la request viene indirizzata a https://pc94:8080/samlsso. Inoltre, probabilmente, hai aggiornato alla nuova versione una installazione sulla quale avevi già eseguito validazioni in precedenza. Prova ad eseguire nuovamente la validazione, prima abilitando lo switch "Check per Produzione", poi disabilitandolo

davidegallesio commented 3 years ago

Grazie @damikael Eseguendo la validazione, prima abilitando lo switch "Check per Produzione", poi disabilitandolo non risolve il problema, l'installazione di spid-saml-check è stata rifatta da zero senza sovrascrivere container precedenti.

hai eseguito spid-saml-check senza modificare le configurazioni da IdP, probabilmente l'IdP Validator ha come EntityID e Host del server il valore localhost:8080, mentre la request viene indirizzata a https://pc94:8080/samlsso.

Prima non avevo scritto che spid-saml-check è installato in locale sul mio PC, che ha nome PC94, ma per poter accedere al validator e all'IDP di demo dal nostro ambiente di produzione ho dovuto modificare i metadata del validator e dell'IDP Demo sostituendo localhost con pc94 (ho provato anche con il numero di IP del mio PC). Forse è questo che non gli piace.

Se è questo il problema, come devo fare allora per testare l'ambiente di produzione? Come posso dire al mio spid-saml-check che non è più localhost ma PC94 ?

Grazie

links-santesem commented 3 years ago

forse problema analogo a quello da me riscontrato, io sto provando ad esporre il tutto sulla porta 80, quindi la request viene fatta verso http://miosito.test.it/samlsso <-- ed in questo caso non mi passa la validazione in quanto penso che si aspetti un qualcosa tipo http://miosito.test.it:80/samlsso, quindi con porta espressa in modo esplicito.