Если сторона подтверждения отправляет мне подпись с открытым ключом, и если они используют алгоритм sha1, означает ли это, что мне нужно использовать тот же алгоритм для проверки подписи? Если это так, нужен ли нам также сертификат sha1?Проверяет ли подпись SAML сертификат
Нет, алгоритм сертификата используется для обеспечения действительности сертификата. Это совершенно другой алгоритм, чем хэш, используемый для подписи Xml.
Если подпись Xml создана с использованием алгоритма SHA-2, вам необходимо будет использовать SHA-2, когда вы проверите подпись. Библиотеки Xml Dsig обычно обрабатывают это автоматически.
Сказанное, что использование подписей SHA1 не рекомендуется для любого использования, поэтому Idp, создающий утверждение, должен использовать SHA2 или лучше при подписании.
Улыбка, спасибо за ответ. Прошу прощения, поскольку мне нужно гораздо больше деталей, чтобы понять это. Допустим, что клиент отправил мне подпись с использованием агогорифма SHA2. У меня есть несколько вопросов, как клиент подписывает это: 1) Когда клиент подписывает его, они используют свой закрытый ключ, используя алгоритм SHA2, и чтобы убедиться, что мне нужно использовать их открытый ключ, используя алгоритм SHA2? ИЛИ 2) Когда клиент подписывает его, используют ли они наш открытый ключ, используя алгоритм SHA2, и чтобы убедиться, что мне нужно использовать наш закрытый ключ с использованием алгоритма SHA2? – richard
У кого-нибудь есть идея об этом? – richard
Я обновил свой ответ с более подробной информацией относительно вашего оригинального вопроса. Для вопросов о том, какой ключ использовать - это другой вопрос. Пожалуйста, напишите как новый вопрос, так как формат переполнения стека не очень хорошо обрабатывает последующие вопросы. –