if AuthnRequest RequestedAuthnContext Comparison is set to minimum, ForceAuthn must be set to true ?

[simevo]

see this comment: #84 (comment)

@umigliore can you provide a normative reference for this ? thanks !

[simevo]

if the answer is yes, we can implement it as in here: fc61f0e#diff-d701c062084416d9da7c836d589226e5R24
or with:

if (isset($this->idp->sp->settings['sp_comparison'])) {
    $comparison = $this->idp->sp->settings['sp_comparison'];
} else {
    $comparison = "exact";
}
$force = ($level > 1 || $comparison == "minimum") ? "true" : "false";

[umigliore]

cfr https://docs.italia.it/italia/spid/spid-regole-tecniche/it/stabile/single-sign-on.html#authnrequest

The comparison attribute should be minimum because of this note in the doc:

"N.B. L’Identity Provider ha facoltà di utilizzare per l’autenticazione un livello SPID più alto rispetto a quelli risultanti dall’indicazione del richiedente mediante l’attributo Comparison. Tale scelta non deve comportare un esito negativo della richiesta."

If the Level can be greater than 1, the request should present the flag ForceAuthn:

The ForceAuthn flag is required if the level could be grater than 1.

[simevo]

looking at saml-core-2.0-os.pdf from http://docs.oasis-open.org/security/saml/v2.0/

line 1804:

The <RequestedAuthnContext> element specifies the authentication context requirements of
authentication statements returned in response to a request or query. Its RequestedAuthnContextType
complex type defines the following elements and attributes: <saml:AuthnContextClassRef> or <saml:AuthnContextDeclRef> [One or More]

for SPID, it can be: https://www.spid.gov.it/SpidL1, https://www.spid.gov.it/SpidL2 or https://www.spid.gov.it/SpidL3

line 1812:

Comparison [Optional] Specifies the comparison method used to evaluate the requested context classes or statements, one of "exact", "minimum", "maximum", or "better". The default is "exact". Either a set of class references or a set of declaration references can be used. The set of supplied
references MUST be evaluated as an ordered set, where the first element is the most preferred
authentication context class or declaration. If none of the specified classes or declarations can be satisfied in accordance with the rules below, then the responder MUST return a message with a second-level of urn:oasis:names:tc:SAML:2.0:status:NoAuthnContext.
If Comparison is set to "exact" or omitted, then the resulting authentication context in the authentication statement MUST be the exact match of at least one of the authentication contexts specified.
If Comparison is set to "minimum", then the resulting authentication context in the authentication
statement MUST be at least as strong (as deemed by the responder) as one of the authentication
contexts specified.
If Comparison is set to "better", then the resulting authentication context in the authentication
statement MUST be stronger (as deemed by the responder) than any one of the authentication contexts specified.
If Comparison is set to "maximum", then the resulting authentication context in the authentication
statement MUST be as strong as possible (as deemed by the responder) without exceeding the strength of at least one of the authentication contexts specified.

for SPID, any of the 4 values is possible: exact, minimum, better or maximum

line 2042:

ForceAuthn [Optional] A Boolean value. If "true", the identity provider MUST authenticate the presenter directly rather than rely on a previous security context. If a value is not provided, the default is "false". However, if both ForceAuthn and IsPassive are "true", the identity provider MUST NOT freshly authenticate the presenter unless the constraints of IsPassive can be met.

for SPID, ForceAuthn must be true for SpidL2 and SpidL3

sooo, if I request SpidL1 with comparison = minimum, I think ForceAuthn can be false

[umigliore]

In the Spid Saml Check tool, it waits in test AuthnRequest for flag set to true.
It says:

 # ForceAuthn must be true if 'Comparison' is 'minimum' and SPID level is L1

https://github.com/italia/spid-saml-check/blob/ed5962b085b6bf2e46367dc7c4b8f5d8623f2272/specs-compliance-tests/test/sp/authn_request_extra.py

[simevo]

Ok let's check why is that italia/spid-saml-check#50

[ctrlaltca]

A quanto descritto in https://docs.italia.it/italia/spid/spid-regole-tecniche/it/stabile/single-sign-on.html#authnrequest :

• è obbligatoriol’attributo ForceAuthn nel caso in cui si richieda livelli di autenticazione superiori a SpidL1 (SpidL2 o SpidL3)
• L’elemento <RequestedAuthnContext> prevede un attributo Comparison con il quale indicare il metodo per stabilire il rispetto del vincolo sul contesto di abilitazione: i valori ammessi per questo attributo sono: exact, minimum, better, maximum
• N.B. L’Identity Provider ha facoltà di utilizzare per l’autenticazione un livello SPID più alto rispetto a quelli risultanti dall’indicazione del richiedente mediante l’attributo Comparison. Tale scelta non deve comportare un esito negativo della richiesta.

Quindi anche impostando nella richiesta un livello minimo SpidL1, l'Idp può autenticare utilizzando un livello SpidL2 o SpidL3, per i quali è obbligatorio prevedere l’attributo ForceAuthn=true.

La necessità di questo attributo è stato notato inizialmente indicato come problema nel test-environment ufficiale qui: italia/spid-testenv#37
Lo stesso giorno è stato aggiunto un test specifico per controllare questa condizione nel validatore ufficiale: italia/spid-saml-check@b9d3183

Non ho trovato un'indicazione precisa nella normativa di questo obbligo, se non uno desumibile dalle condizioni qui esposte.

[simevo]

Grazie per tutti i commenti, ora mi sono convinto anche io che anche mancando un'indicazione normativa deve essere così se no Comparison di fatto diventa exact dal momento che l'IdP con ForceAuthn=false potrebbe restituire solo SPID L1. La fix sarà inclusa nella nuova release !