Best Practices für die einmalige Abmeldung von SAML 2.0 nach Inaktivität des Dienstanbieters

Grundlegendes zum einmaligen Abmelden von SAML 2.0 nach Sitzungs-Timeout

Da SAML 2.0 Single Sign-On (SSO)-Systeme es Benutzern ermöglichen, sich mit einem einzigen Satz von Anmeldeinformationen bei verschiedenen Anwendungen anzumelden, haben sie die Benutzerauthentifizierung erheblich vereinfacht. Es gibt jedoch auch erhebliche Probleme mit dem Konzept des Single Log Out (SLO), insbesondere im Hinblick darauf, was passiert, wenn die Sitzung eines Benutzers bei einem Service Provider (SP) abläuft, weil er sich nicht angemeldet hat. In diesem Fall sollte dies beim Identitätsanbieter der Fall sein (IDP-)Sitzungsende auch?

Das Sitzungsmanagement zwischen SP und IDP ist für die Gewährleistung eines sicheren und effizienten Zugriffs im Kontext von SAML 2.0 von entscheidender Bedeutung. Wenn eine SP-Sitzung endet, ist es nicht immer offensichtlich, ob der Benutzer weiterhin mit dem IDP verbunden sein sollte, was Auswirkungen auf andere Apps haben könnte, die mit demselben IDP verknüpft sind. Dies wirft Fragen zur Benutzerfreundlichkeit und Sicherheit auf.

Viele Unternehmen müssen eine klare Best Practice für den Umgang mit diesen Sitzungszeitüberschreitungen etablieren, insbesondere diejenigen, die Schnittstellen wie Microsoft Entra verwenden. Ist es besser, die Sitzung eines SP einfach auf SP-Ebene zu beenden, oder sollte dies auch zu einem SLO führen, das den Benutzer von seinem IDP-Konto abmeldet?

Anhand realer Beispiele zur Veranschaulichung der effizientesten Techniken zum Umgang mit Sitzungs-Timeouts und zur Gewährleistung von Sicherheit und Benutzerfreundlichkeit untersucht dieses Dokument Standardpraktiken und Standards für den Umgang mit SAML 2.0-SLO-Ereignissen in solchen Situationen.

Optimieren Sie die einmalige Abmeldung mit der SAML 2.0-Behandlung von Sitzungszeitüberschreitungen

Benutzen Node.js und Express, das Backend-Skript für die Handhabung von Single Log Out (SLO), konzentriert sich auf die Fähigkeit, den Ablauf von Benutzersitzungen zu verfolgen und eine Abmeldesequenz auf den Ebenen Service Provider (SP) und Identity Provider (IDP) zu initiieren. Im Mittelpunkt dieser Überlegung steht die Verwaltung von Express-Sitzungen. Wir legen einen Triggerpunkt fest, indem wir die Sitzung so einstellen, dass sie nach einer vorgegebenen Zeit der Inaktivität beendet wird – in unserem Beispiel zehn Minuten. Wenn die Sitzung endet, verwendet das Skript die Methode „create_logout_request_url()}, um eine SAML 2.0-Abmeldeanforderung zu starten, die dann eine Verbindung zum IDP herstellt (in diesem Fall Microsoft Entra), um die Benutzersitzung vollständig zu beenden. Dies erhöht die Sicherheit, indem gewährleistet wird, dass sich der Benutzer vollständig vom System abgemeldet hat.

Wir laden SAML-Zertifikate und Schlüssel in die Anwendung mit dem Befehl „readFileSync()} ein, um eine sichere Kommunikation zwischen dem SP (MyApp) und dem IDP (Microsoft Entra) zu ermöglichen. Durch die Authentifizierung der Abmeldeanforderung schützen diese Zertifikate vor illegalen Abmeldungen und garantieren, dass die Kommunikation verschlüsselt und bestätigt bleibt. Der Benutzer wird nach der Generierung an die Abmeldeanforderungs-URL weitergeleitet, wo der IDP die Abmeldung übernimmt und bei Bedarf die Sitzung des Benutzers über alle zugehörigen Anwendungen hinweg beendet. Um die Sicherheit und Integrität von Single-Sign-On-Installationen (SSO) mit mehreren Anwendungen aufrechtzuerhalten, ist diese bidirektionale Kommunikation erforderlich.

Das JavaScript-Skript ist unerlässlich, um Benutzeraktivitäten im Frontend in Echtzeit zu verfolgen. Jedes Mal, wenn der Benutzer mit dem Programm interagiert, setzen wir das Sitzungszeitlimit zurück, indem wir Ereignis-Listener wie „onmousemove} und „onkeypress“ verwenden. Ein mit „setTimeout()“ eingestellter Timer warnt den Benutzer und meldet ihn automatisch vom SP (MyApp) ab, wenn der Benutzer inaktiv wird. Nach der Abmeldung wird der zuvor beschriebene SAML 2.0-Abmeldevorgang gestartet, indem das Frontend-Skript mithilfe von „fetch()“ eine SLO-Anfrage an das Backend sendet. Diese Technik stellt sicher, dass Inaktivität auf SP-Ebene umgehend, sicher und fehlerfrei behoben wird.

Bei der SAML 2.0-Integration und Sitzungsverwaltung werden kombiniert, das Benutzererlebnis ist nahtlos und Sicherheitsstandards werden eingehalten. Um zu verhindern, dass der Benutzer bei Inaktivität länger als zulässig authentifiziert bleibt, initiiert das Sitzungs-Timeout sowohl die lokale SP-Abmeldung als auch die IDP-Abmeldung. Obwohl SAML 2.0 kein besonderes Verhalten in Bezug auf Sitzungszeitüberschreitungen erfordert, wird es allgemein als bewährte Methode akzeptiert, den Sitzungsablauf zum Initiieren von SLO zu verwenden. Durch die Beendigung inaktiver Sitzungen wird ein Gleichgewicht zwischen Sicherheit und Benutzererfahrung hergestellt, indem synchronisierte Abmeldungen über verschiedene mit SSO verbundene Plattformen hinweg ermöglicht werden.

// Required modules for Node.js and SAML SSO
const express = require('express');
const session = require('express-session');
const saml2 = require('saml2-js');
const app = express();

// Service Provider (SP) setup
const sp = new saml2.ServiceProvider({
  entity_id: "http://myapp.com/metadata.xml",
  private_key: fs.readFileSync("./cert/sp-private-key.pem").toString(),
  certificate: fs.readFileSync("./cert/sp-certificate.pem").toString(),
  assert_endpoint: "http://myapp.com/assert"
});

// Identity Provider (IDP) setup
const idp = new saml2.IdentityProvider({
  sso_login_url: "https://login.microsoftonline.com/sso",
  sso_logout_url: "https://login.microsoftonline.com/logout",
  certificates: fs.readFileSync("./cert/idp-certificate.pem").toString()
});

// Session management
app.use(session({
  secret: 'mySecretKey',
  resave: false,
  saveUninitialized: true,
  cookie: { maxAge: 600000 } // Set session expiration time
}));

// Middleware to handle session timeout and SLO
app.use((req, res, next) => {
  if (req.session.expires && Date.now() > req.session.expires) {
    sp.create_logout_request_url(idp, {}, (err, logout_url) => {
      if (err) return res.status(500).send("Logout error");
      return res.redirect(logout_url); // Trigger SLO
    });
  } else {
    next(); // Continue if session is valid
  }
});

app.listen(3000, () => {
  console.log("Server running on port 3000");
});

// Define variables for session timeout
let timeoutDuration = 600000; // 10 minutes
let timeoutTimer;

// Reset the timer on any user interaction
function resetTimer() {
  clearTimeout(timeoutTimer);
  timeoutTimer = setTimeout(triggerLogout, timeoutDuration);
}

// Trigger logout function
function triggerLogout() {
  alert("Session expired due to inactivity.");
  window.location.href = "/logout"; // Redirect to SP logout
}

// Monitor user actions
window.onload = resetTimer;
document.onmousemove = resetTimer;
document.onkeypress = resetTimer;

// SLO event triggered after logout
function sendSLORequest() {
  fetch('/api/slo', { method: 'POST' })
    .then(response => {
      if (response.ok) {
        console.log("SLO request sent to IDP");
      }
    })
    .catch(err => console.error("SLO request failed", err));
}

Erkundung von SAML 2.0: Einzelabmeldung und Zeitüberschreitung bei Inaktivität

Wie SAML 2.0 Single Log Out (SLO) adressiert Inaktivität auf der Ebene des Service Providers (SP) ist eine wichtige zu verwaltende Komponente. Obwohl es offensichtlich ist, dass eine manuelle Abmeldung beim SP auch eine Abmeldung beim Identitätsanbieter (IDP) zur Folge haben sollte, erschweren Sitzungszeitüberschreitungen aufgrund von Inaktivität die Sache. Der SAML 2.0-Standard gibt nicht klar an, wie SLO bei Sitzungsablauf gehandhabt werden soll. Dies ermöglicht jedoch die Einführung von Best Practices, die das Benutzererlebnis und die Sicherheit verbessern können.

Beispielsweise bleiben Benutzer, die sich über Microsoft Entra (IDP) bei einer Anwendung wie MyApp anmelden, häufig beim IDP angemeldet, selbst nachdem sie aufgrund von Inaktivität vom SP ausgeschlossen wurden. Wenn der Benutzer glaubt, dass er vollständig abgemeldet ist, während andere Apps, die dasselbe SSO verwenden, noch ausgeführt werden, kann dies zu einem Problem führen Sicherheitsbedenken. Eine Möglichkeit, dieses Risiko zu verringern, besteht darin, die SAML-Sitzungsverwaltung so einzurichten, dass sie das SP-Timeout-Ereignis auf IDP-Ebene nachahmt und synchronisierte Abmeldungen gewährleistet.

Ein weiterer Faktor ist die Implementierung von Leerlauferkennungstechniken im Frontend-Code. Entwickler können Zeiten der Inaktivität vorhersehen und Benutzer benachrichtigen, bevor die Sitzung abläuft, indem sie Ereignis-Listener für Benutzeraktivitäten verwenden. Auf diese Weise können Benutzer die Kontrolle über ihre Sitzungen behalten und sicherstellen, dass ihre SSO-Sitzung läuft nicht kontinuierlich. In einer SSO-integrierten Umgebung können Entwickler Sicherheit und Benutzerkomfort gewährleisten, indem sie ein Gleichgewicht zwischen diesen Faktoren finden.