SAML 2.0 Vieno atsijungimo geriausia praktika po paslaugų teikėjo neveiklumo

Kaip suprasti SAML 2.0 vienkartinį atsijungimą pasibaigus seansui

Kadangi SAML 2.0 vienkartinio prisijungimo (SSO) sistemos leidžia vartotojams prisijungti prie įvairių programų naudojant vieną kredencialų rinkinį, jos labai supaprastino vartotojo autentifikavimą. Tačiau taip pat yra didelių problemų, susijusių su vieno išregistravimo (SLO) sąvoka, ypač dėl to, kas nutinka, kai paslaugų teikėjo (SP) naudotojo seansas baigiasi, nes jis neprisijungė. Tokiu atveju tapatybės teikėjas (IDP) sesija taip pat baigiasi?

Seansų valdymas tarp SP ir IDP yra būtinas norint užtikrinti saugią ir veiksmingą prieigą SAML 2.0 kontekste. Ne visada akivaizdu, kada SP seansas baigiasi, jei vartotojas vis tiek turėtų būti prisijungęs prie IDP, o tai gali turėti įtakos kitoms programoms, susietoms su tuo pačiu IDP. Tai kelia klausimų dėl naudojimo ir saugumo.

Daugelis įmonių, ypač tų, kurios naudoja tokias sąsajas kaip „Microsoft Entra“, turi sukurti aiškią geriausią praktiką, kaip valdyti šiuos seanso skirtąjį laiką. Ar geriau SP seansui sustoti tiesiog SP lygiu, ar taip pat turėtų atsirasti SLO, kuris išregistruoja vartotoją iš IDP paskyros?

Naudojant realaus pasaulio pavyzdžius, siekiant iliustruoti efektyviausius seanso skirtojo laiko apdorojimo būdus ir užtikrinti saugumą bei patogumą, šiame straipsnyje nagrinėjama standartinė praktika ir standartai, kaip tvarkyti SAML 2.0 SLO įvykius tokiose situacijose.

Vieno atsijungimo optimizavimas naudojant SAML 2.0 seanso skirtojo laiko tvarkymą

Naudojant Node.js ir Express, užpakalinis scenarijus, skirtas Single Out (SLO) tvarkyti, sutelkia dėmesį į galimybę sekti vartotojo seanso pabaigą ir inicijuoti atsijungimo seką paslaugų teikėjo (SP) ir tapatybės teikėjo (IDP) lygiais. „Express“ seansų valdymas yra šio samprotavimo pagrindas. Suaktyvinimo tašką nustatome nustatydami seanso pabaigą po iš anksto nustatyto neveiklumo – mūsų pavyzdyje – dešimties minučių. Kai sesija baigiasi, scenarijus naudoja metodą `create_logout_request_url()}, kad paleistų SAML 2.0 atsijungimo užklausą, kuri vėliau prisijungia prie IDP (šiuo atveju, Microsoft Entra), kad visiškai užbaigtumėte vartotojo seansą. Tai padidina saugumą, nes garantuoja, kad vartotojas visiškai atsijungė nuo sistemos.

Krauname SAML sertifikatai ir raktus į programą naudodami komandą `readFileSync()}, kad būtų užtikrintas saugus ryšys tarp SP (MyApp) ir IDP (Microsoft Entra). Autentifikuodami atsijungimo užklausą, šie sertifikatai apsaugo nuo neteisėtų atsijungimų ir garantuoja, kad ryšys išliks užšifruotas ir patvirtintas. Vartotojas siunčiamas į atsijungimo užklausos URL po to, kai jis buvo sugeneruotas, kur IDP tvarko atsijungimą ir, jei reikia, baigia vartotojo seansą visose susijusiose programose. Norint išlaikyti kelių programų vienkartinio prisijungimo (SSO) įrenginių saugumą ir vientisumą, reikalingas šis dvipusis ryšys.

„JavaScript“ scenarijus yra būtinas norint stebėti vartotojo veiklą realiuoju laiku priekinėje dalyje. Kiekvieną kartą, kai vartotojas sąveikauja su programa, iš naujo nustatome seanso skirtąjį laiką naudodami įvykių klausytojus, pvz., „onmousemove}“ ir „onkeypress“. Laikmatis, nustatytas naudojant „setTimeout()“, įspėja vartotoją ir automatiškai išregistruoja jį iš SP (MyApp), kai vartotojas neveikia. Atsijungus, anksčiau aprašytas SAML 2.0 atsijungimo procesas paleidžiamas priekinės programos scenarijui, siunčiant SLO užklausą atgalinei sistemai naudojant „fetch()“. Ši technika užtikrina, kad neveiklumas SP lygiu būtų sprendžiamas greitai, saugiai ir be klaidų.

Kai SAML 2.0 integracija ir seanso valdymas yra derinami, naudotojo patirtis yra vientisa ir laikomasi saugumo standartų. Kad vartotojas neliktų autentifikuoto ilgiau nei leidžiama neveiklumo metu, seanso skirtasis laikas inicijuoja ir vietinį SP, ir IDP atsijungimą. Nors SAML 2.0 nereikalauja jokio ypatingo elgesio, susijusio su seanso skirtuoju laiku, paprastai priimta kaip geriausia praktika naudoti seanso galiojimo terminą norint inicijuoti SLO. Pabaigus neaktyvias sesijas, ji sukuria pusiausvyrą tarp saugumo ir vartotojo patirties, nes įgalina sinchronizuotą atsijungimą įvairiose su SSO prijungtose platformose.

// Required modules for Node.js and SAML SSO
const express = require('express');
const session = require('express-session');
const saml2 = require('saml2-js');
const app = express();

// Service Provider (SP) setup
const sp = new saml2.ServiceProvider({
  entity_id: "http://myapp.com/metadata.xml",
  private_key: fs.readFileSync("./cert/sp-private-key.pem").toString(),
  certificate: fs.readFileSync("./cert/sp-certificate.pem").toString(),
  assert_endpoint: "http://myapp.com/assert"
});

// Identity Provider (IDP) setup
const idp = new saml2.IdentityProvider({
  sso_login_url: "https://login.microsoftonline.com/sso",
  sso_logout_url: "https://login.microsoftonline.com/logout",
  certificates: fs.readFileSync("./cert/idp-certificate.pem").toString()
});

// Session management
app.use(session({
  secret: 'mySecretKey',
  resave: false,
  saveUninitialized: true,
  cookie: { maxAge: 600000 } // Set session expiration time
}));

// Middleware to handle session timeout and SLO
app.use((req, res, next) => {
  if (req.session.expires && Date.now() > req.session.expires) {
    sp.create_logout_request_url(idp, {}, (err, logout_url) => {
      if (err) return res.status(500).send("Logout error");
      return res.redirect(logout_url); // Trigger SLO
    });
  } else {
    next(); // Continue if session is valid
  }
});

app.listen(3000, () => {
  console.log("Server running on port 3000");
});

// Define variables for session timeout
let timeoutDuration = 600000; // 10 minutes
let timeoutTimer;

// Reset the timer on any user interaction
function resetTimer() {
  clearTimeout(timeoutTimer);
  timeoutTimer = setTimeout(triggerLogout, timeoutDuration);
}

// Trigger logout function
function triggerLogout() {
  alert("Session expired due to inactivity.");
  window.location.href = "/logout"; // Redirect to SP logout
}

// Monitor user actions
window.onload = resetTimer;
document.onmousemove = resetTimer;
document.onkeypress = resetTimer;

// SLO event triggered after logout
function sendSLORequest() {
  fetch('/api/slo', { method: 'POST' })
    .then(response => {
      if (response.ok) {
        console.log("SLO request sent to IDP");
      }
    })
    .catch(err => console.error("SLO request failed", err));
}

SAML 2.0 tyrinėjimas: Vieno atsijungimo ir neveiklumo skirtasis laikas

Kaip adresai SAML 2.0 Single Out (SLO). neveiklumas Paslaugų teikėjo (SP) lygiu yra labai svarbus valdymo komponentas. Nors akivaizdu, kad neautomatinis atsijungimas iš SP taip pat turėtų sukelti tapatybės teikėjo (IDP) atsijungimą, dėl neveiklumo atsiradęs seanso laikas apsunkina reikalus. SAML 2.0 standartas aiškiai nenurodo, kaip SLO turėtų būti tvarkomas pasibaigus seansui. Tačiau tai leidžia pritaikyti geriausią praktiką, kuri gali pagerinti vartotojo patirtį ir saugumą.

Pavyzdžiui, net ir išjungę SP dėl neveiklumo, vartotojai, kurie prisijungia prie programos, pvz., „MyApp“ per „Microsoft Entra“ (IDP), dažnai lieka prisijungę prie IDP. Jei naudotojas mano, kad yra visiškai atsijungęs, o kitos tą patį SSO naudojančios programos vis dar veikia, tai gali padidėti saugumo rūpesčius. Vienas iš būdų sumažinti šią riziką yra SAML seanso valdymo nustatymas, siekiant imituoti SP skirtojo laiko įvykį IDP lygiu ir užtikrinti sinchronizuotus atsijungimus.

Kitas veiksnys yra priekinio kodo neaktyvios aptikimo metodų įgyvendinimas. Kūrėjai gali numatyti neveiklumo laiką ir įspėti vartotojus prieš pasibaigiant seansui, naudodamiesi įvykių klausytojais naudotojo veiklai. Naudodami tai vartotojai gali kontroliuoti savo seansus ir užtikrinti, kad jų SSO sesija neveikia nuolat. SSO integruotoje aplinkoje kūrėjai gali išsaugoti saugumą ir naudotojo patogumą, subalansuodami šiuos veiksnius.