A continuación, entiendo: una aplicación de terceros redirige a un OP para la autenticación. Una vez que se completa la autenticación, el OP redirige de nuevo a la aplicación de terceros.
También devuelve en la cadena de consulta una serie de parámetros y también envía una firma. Mi pregunta es cómo la aplicación de terceros verifica la firma. Según tengo entendido, se necesitará una clave compartida para hacer esto, pero no veo que se comparta en la redirección inicial al OP.
Ahora suponiendo que se compartió una clave, entonces cuál es el uso, ya que la comunicación puede ser detectada y los contenidos manipulados.