[upki-fed:00353] Firefox 5で"Rejecting replayed message ID"エラーが記録される

[Takeshi NISHIMURA <xxxxxxx@xxxxxxxxx>]

西村です。

先日公開されたFirefox 5を使うと、一部のShibboleth環境で問題が発生する
ことが分かっています。

現象としてはユーザの認証が"Message did not meet security requirements"
エラーで中断され、IdPのログに"Rejecting replayed message ID"エラーが記録
されるというものですが、原因はSP側にあります。

SP側Apacheの設定で
ExpiresActive On
を指定しておりかつタイプを制限していない場合は、この問題に直面すると思われます
ので設定を今一度見直すことをお勧めします。

SPがリダイレクトレスポンスを返すときに遠い将来のExpires:ヘッダを付けて返すと、
ほとんどのブラウザは無視するがFirefox 5はそれをキャッシュするため、同じURL
に戻ってきたときに再度IdPに飛んでしまうというのが原因のようです。

該当バグ:
https://bugzilla.mozilla.org/show_bug.cgi?id=667429

-- 
西村健
国立情報学研究所 TEL:03-4212-2720