Hej,
Den profil vi i Swamid använder för att signalera multifaktorautentisering (MFA) inom federationen, REFEDS MFA Profile, är på väg att få en uppdatering. Uppdateringen innehåller bland annat stöd för att signalera att Phishing-resistent MFA ska användas/användes vid inloggning.
Profilen är nu under konsultation där intressenter har möjlighet att föreslå förändringar innan den beslutas av REFEDS Steering Committee. Konsultationen är öppen till den 14 april.
Se utlysandet av konsultationen nedan och ta chansen att förändra den till det bättre innan den fastställs!
MVH
Fredrik Domeij
Swamid Operations
________________________________
From: refeds-request(a)lists.refeds.org <refeds-request(a)lists.refeds.org> on behalf of Nicole Harris <refeds(a)lists.refeds.org>
Sent: Wednesday, March 11, 2026 4:37 PM
To: consultations(a)lists.refeds.org <consultations(a)lists.refeds.org>; REFEDS <refeds(a)lists.refeds.org>
Subject: Consultation: MFA Profile 2.0
Dear All
On behalf of the MFA Profile Working Group, I am happy to announce an open consultation on the proposed version 2 of the REFEDS MFA Profile. The consultation page can be found here: https://wiki.refeds.org/display/CON/Consultation:+MFA+Profile+v2.0, including a summary of the main changes in approach.
The consultation will run from 11th March 2026 to 14th April 2026, 17:00 CEST.
All comments should be made on the wiki page (editing rights are open), to the consultations list or directly to me and I will summarise them for you.
If you have any questions, please do not hesitate to reach out or ask questions on the consultations list.
Many thanks
Nicole
--
Nicole Harris
Senior Trust and Security Manager
GÉANT
T: +31 (0) 20 530 4488
M: +31 (0) 646 105395
PGP key Fingerprint: 4017 2E40 13D4 9DA7 68E1 8ADB 3F11 9CDB FC48 6216
Networks • Services • People
Learn more at www.geant.org
GÉANT Vereniging (Association) is registered with the Chamber of Commerce in Amsterdam with registration number 40535155 and operates in the UK as a branch of GÉANT Vereniging. Registered office: Hoekenrode 3, 1102BR Amsterdam, The Netherlands. UK branch address: City House, 126 -130 Hills Road, Cambridge CB2 1PQ, UK.
Hej,
Här kommer information om en säkerhetsuppdatering av Shibboleth Service Provider för Windows.
Pål
________________________________
Från: announce <announce-bounces(a)shibboleth.net> på uppdrag av Scott Cantor via announce <announce(a)shibboleth.net>
Skickat: onsdag, mars 11, 2026 6:01:10 PM
Till: announce(a)shibboleth.net <announce(a)shibboleth.net>
Ämne: Shibboleth Service Provider for Windows updated to 3.5.2.2
There were a number of CVEs issued for libcurl this morning, and out of caution, I have published a 3.5.2.2 service patch to the Windows installer to update libcurl to 8.19.0. There are no other changes to the software.
The curl version has been lagging there for a while due to radical build changes to curl on Windows, so getting past that was desirable in case something critical does come along.
-- Scott
--
To unsubscribe from this list send an email to announce-unsubscribe(a)shibboleth.net
Hej!
Enligt SWAMID SAML WebSSO Technology Profile (3.2, 3.3 och 6.6.2) ska en entitet årligen bekräfta
att den uppfyller teknologi-profilen samt ha tidsmässigt giltigt certifikat.
Följande entiteter har trots påtryckning inte bekräftats eller har ett certifikat som gått ut och kommer därför raderas 2026-03-11 ur federationen.
* https://konto.gih.se/Saml2 <https://metadata.swamid.se/admin/?showEntity=891>
* https://confluence-ro.its.umu.se/shibboleth
Vet ni med er att entiteten används vid ert lärosäte behöver ni skyndsamt eskalera detta
till rätt instans inom er organisation.
Det går att följa status på dessa entiteter via vår felsida:
https://metadata.swamid.se/admin/?action=ErrorList
Finns entiteten kvar är den ännu inte hanterad (uppdateras varje onsdag morgon). Last
Confirmed/Validated uppdateras dock löpande.
--
jocar
Swamid Operations
FYI
Happy upgrading!
--
jocar
> Begin forwarded message:
>
> From: Scott Cantor via announce <announce(a)shibboleth.net>
> Subject: Shibboleth Identity Provider V5.2.1 now available
> Date: 17 February 2026 at 23:24:41 CET
> To: announce(a)shibboleth.net
> Cc: Scott Cantor <scott(a)restingparrotsoftware.com>
> Reply-To: users(a)shibboleth.net
>
> A patch release of the Identity Provider is available to correct a couple of regressions identified since the 5.2.0 release, the primary one impacting those using old configurations dating to 4.0 and earlier.
>
> The standard distributions are in the usual place [1]. The Windows installer should be available later tomorrow.
>
> While this patch should restore compatibility, it is a good idea to devote some time to modernizing pre-4.1 configurations to migrate to the more property-centric design of the newer versions.
>
> Thanks to early adopters, taking the arrows is appreciated.
>
> -- Scott
>
> [1] https://shibboleth.net/downloads/identity-provider/latest5/
>
> --
> To unsubscribe from this list send an email to announce-unsubscribe(a)shibboleth.net
För kännedom...
-------- Forwarded Message --------
From: Scott Cantor via users <users(a)shibboleth.net>
Reply-To: Shib Users <users(a)shibboleth.net>
To: Shib Users <users(a)shibboleth.net>
Cc: Scott Cantor <scott(a)restingparrotsoftware.com>
Subject: IdP 5.2.1 forthcoming
Date: 12/02/26 20:53:52
Just to save anybody's time that might be working on an upgrade, we'll
have a first 5.2 patch coming shortly, so you'd probably want to hold
off for that to avoid having to apply another.
Not unexpected, but anyway...
-- Scott
--
For Consortium Member technical support, see
https://shibboleth.atlassian.net/wiki/x/ZYEpPw
To unsubscribe from this list send an email to
users-unsubscribe(a)shibboleth.net
När du skickar e-post till Karlstads universitet behandlar vi dina personuppgifter<https://www.kau.se/gdpr>.
When you send an e-mail to Karlstad University, we will process your personal data<https://www.kau.se/en/gdpr>.
Hej,
Här kommer tredje uppdateringen från Shibboleth på kort tid. Denna gång är det tillägget för WebAuthn som fått en uppdatering.
Pål
Sent: Thursday, January 29, 2026 5:40 PM
Subject: WebAuthn plugin V1.4.1 now available
The Shibboleth Project has released version 1.4.1 of the WebAuthn authentication plugin.
This patch release addresses a few minor bug fixes. For details, see the release notes [1].
- Phil Smart, on behalf of the team
[1] https://shibboleth.atlassian.net/wiki/spaces/IDPPLUGINS/pages/3394928781/We…
Jisc is a registered charity (in England and Wales under charity number 1149740; in Scotland under charity number SC053607) and a company limited by guarantee registered in England under company number 05747339, VAT number GB 197 0632 86. Jisc's registered office is: 4 Portwall Lane, Bristol, BS1 6NB. T 0203 697 5800.
Jisc Services Limited is a wholly owned Jisc subsidiary and a company limited by guarantee which is registered in England under company number 02881024, VAT number GB 197 0632 86. The registered office is: 4 Portwall Lane, Bristol, BS1 6NB. T 0203 697 5800.
For more details on how Jisc handles your data see our privacy notice here: https://www.jisc.ac.uk/website/privacy-notice
Hej,
Här kommer nästa uppdatering från Shibboleth. Denna gång Shibboleth Service Provider men endast under Windows.
Det är många som kör gamla versioner av Shibboleth SP, glöm inte att uppgradera efter testning.
Pål
> -----Original Message-----
> via announce
> Sent: Thursday, January 29, 2026 5:30 PM
> Subject: Shibiboleth Service Provider Windows-only update to V3.5.2.1
>
> The Shibboleth Project has published a Windows service release of the SP to
> update OpenSSL to address a raft of vulnerabilities published earlier this week.
> None are expected to impact the SP, but out of caution I updated the build.
>
> The SP hasn't changed and only the Windows installers are updated.
>
> https://shibboleth.net/downloads/service-provider/latest/win64/
> https://shibboleth.net/downloads/service-provider/latest/win32/
>
> -- Scott
Hej,
Shibboleth har nu släppt version 5.2 av Shibboleth Identity Provider. Som Scott skriver nedan så bygger denna version på nya versioner av Spring och Spring WebFlow och det är därför viktigt att läsa release notes i samband med uppgraderingen.
Pål
> -----Original Message-----
> Sent: Thursday, January 29, 2026 3:29 PM
> Subject: Shibboleth Identity Provider V5.2.0 now available
>
> After a rather long incubation of almost 2 years, the Shibboleth Project is pleased
> to announce the release of V5.2.0 of the Identity Provider software.
>
> This is now the only officially supported version, closing out the V5.1 branch.
>
> The standard installer is available from [1]. The MSI will be published when
> available under that location, but please consider migrating to the standard
> installer, as it is functionally identical, and can be used to upgrade MSI-installed
> versions of the IdP. We will be discontinuing the MSI variant in the future, likely
> with the eventual release of V6.0
>
> Please review the Release Notes [2] as this is a relatively significant minor
> upgrade, which is based on major new versions of Spring and Spring WebFlow, and
> requires a Java container supporting Servlet 6.1, which is beyond what many older
> containers support, which we have noted.
>
> The most impactful changes aside from that are to the subject canonicalization
> support that normalizes the output of authentication, with a variety of new
> features to simplify configuration in many cases, particularly when proxying to
> other IdPs. It is intended to be backwardly compatible and has been so while
> testing, but we will address any issues that arise expediently.
>
> Note that Spring 6.x, used by UdP V5.1, hits its end of life this summer. Spring 7.0
> is expected to receive support through mid-2027, so this release will provide that
> runway.
>
> The eventual SP4 Hub plugins, which will be part of the upcoming SP alpha
> release, require this version to operate; at present this *may* be the baseline
> release for the SP 4 official release when it occurs, but that's not a certainty, we
> may have to make further changes to support that work.
>
> -- Scott
>
> [1] https://shibboleth.net/downloads/identity-provider/latest5/
> [2]
> https://shibboleth.atlassian.net/wiki/spaces/IDP5/pages/3199500367/ReleaseN…
> --
Beslut om avveckling av GEANT Code of Conduct version 1<https://wiki.sunet.se/spaces/SWAMID/blog/2026/01/09/293602096/Beslut+om+avv…>
eduGAINs styrande kommitté har beslutat att avveckla GÉANT Code of Conduct version 1 (CoCo v1). Denna kod baseras på den lagstiftning som ersattes av Dataskyddsförordningen 2018. Den bör därför inte längre användas som grund för integritetsefterlevnad och URI:n för denna entitetskategori stöds inte längre. Kommittén anser därför att det nu är en lämplig tidpunkt att avveckla CoCo v1 som en rekommenderad profil. Swamid följer eduGAINs beslut både för tjänster som exporteras och som inte exporteras till eduGAIN.
CoCo v1 ersätts av REFEDS Data Protection Code of Conduct v2 (CoCo v2) <https://refeds.org/category/code-of-conduct> och rekommenderad migrering är enligt följande:
* Identitetsutgivare (IdP): Ingen förändring just nu, både CoCo v1 och CoCo v2 ska stödjas tillsvidare. Swamids rekommenderade modell för attributrelease för IdPer har sedan länge stöd både för CoCo v1 och CoCo v2.
* Tjänster (SP): För tjänster sker förändringen i två steg och initieras av tjänsteägaren eller dess tekniska representant i Swamidregistrerad metadata:
* Om tjänsten har CoCo v1 men inte CoCo v2: Lägg till CoCo v2 som entitetskategori.
* Swamid Operations kommer i steg 2 att avregistrera CoCo v1 från alla entiteter i Swamid. Observera att när detta ska göras är ännu inte bestämt och tjänsterna avråds från att ta bort CoCo v1 för fortsatt fungerande attributrelease från de identitetsutgivare som ännu inte stödjer CoCo v2.
Primära skillnader mellan CoCo v1 och CoCo v2
CoCo v2 bygger på Dataskyddsförordningen (GDPR, EU 2016/679) medan CoCo v1 bygger på EU-direktivet bakom gamla Personuppgiftlagen (PUL, SFS 1998:204). Både CoCo v1 och CoCo v2 är s.k. best practice för hur man uppfyller intensionerna runt attributrelease från en identitetsutfärdare till en tjänst genom att tjänsten deklarerar hur lagstiftningen uppfylls genom en s.k. privacy policy som är publicerad i tjänstens metadata.
Förutom bytet av lagstiftning är det två större skillnader mellan de två olika versionerna:
* CoCo v1 kräver att det i privacy policyn finns ett avsnitt som hänvisar till CoCo v1 med länk till den gällande versionen av CoCo v1, detta krav är borttaget ur CoCo v2.
* CoCo v2 kräver att REFEDS Security Incident Response Trust Framework for Federated Identity (Sirtfi)<https://refeds.org/sirtfi> följs och registreras i metadata av tjänsten. Detta innebär indirekt att tjänsten även måste ange en säkerhetskontakt i metadata. Denna säkerhetskontakt ska kunna hantera IT-säkerhetsrelaterade frågor på säkert sätt enligt FIRST Traffic Light Protocol (TLP)<https://www.first.org/tlp/>. Enklast görs detta enligt SWAMID Incident Management Procedures<https://wiki.sunet.se/spaces/SWAMID/pages/102564350/SWAMID+Incident+Managem…>.
Pål Axelsson
