SAML 2.0 Najboljše prakse za enojno odjavo po nedejavnosti ponudnika storitev

Razumevanje SAML 2.0 Single Log Out After Session Timeout

Ker sistemi enotne prijave (SSO) SAML 2.0 uporabnikom omogočajo prijavo v različne aplikacije z enim nizom poverilnic, so precej poenostavili avtentikacijo uporabnikov. Obstajajo pa tudi pomembne težave s pojmom enotne odjave (SLO), zlasti glede tega, kaj se zgodi, ko uporabniku poteče seja pri ponudniku storitev (SP), ker se ni prijavil. V tem primeru bi moral ponudnik identitete (IDP) tudi konec seje?

Upravljanje sej med SP in IDP je bistveno za zagotavljanje varnega in učinkovitega dostopa v kontekstu SAML 2.0. Ni vedno očitno, kdaj se seja SP konča, ali mora biti uporabnik še vedno povezan z IDP, kar bi lahko vplivalo na druge aplikacije, ki so povezane z istim IDP. To postavlja vprašanja o uporabnosti in varnosti.

Mnoga podjetja, zlasti tista, ki uporabljajo vmesnike, kot je Microsoft Entra, morajo vzpostaviti jasno najboljšo prakso za ravnanje s temi časovnimi omejitvami sej. Ali je bolje, da se seja SP-ja preprosto ustavi na ravni SP-ja, ali bi to moralo povzročiti tudi SLO, ki uporabnika odjavi iz njegovega računa IDP?

Z uporabo primerov iz resničnega sveta za ponazoritev najučinkovitejših tehnik za ravnanje s časovnimi omejitvami sej in zagotavljanjem varnosti in uporabnosti ta dokument preučuje standardne prakse in standarde za ravnanje s dogodki SAML 2.0 SLO v takšnih situacijah.

Optimiziranje posamezne odjave z ravnanjem s časovno omejitvijo seje SAML 2.0

Uporaba Node.js in Express, zaledni skript za obravnavanje enotne odjave (SLO) se osredotoča na zmožnost sledenja poteku uporabniške seje in sprožitev zaporedja odjave na ravni ponudnika storitev (SP) in ponudnika identitete (IDP). Upravljanje hitrih sej je v središču tega razmišljanja. Sprožilno točko vzpostavimo tako, da nastavimo končanje seje po vnaprej določeni količini nedejavnosti – v našem primeru deset minut. Ko se seja konča, skript uporabi metodo `create_logout_request_url()} za zagon zahteve za odjavo SAML 2.0, ki se nato poveže z IDP (v tem primeru Microsoft Entra), da v celoti končate uporabniško sejo. To poveča varnost z zagotavljanjem, da se je uporabnik popolnoma odjavil iz sistema.

Naložimo SAML potrdila in vnese v aplikacijo z ukazom `readFileSync()}, da omogoči varno komunikacijo med SP (MyApp) in IDP (Microsoft Entra). Z avtentikacijo zahteve za odjavo ti certifikati ščitijo pred nezakonitimi odjavami in zagotavljajo, da komunikacija ostane šifrirana in potrjena. Uporabnik je poslan na URL zahteve za odjavo, potem ko je ta ustvarjen, kjer IDP obravnava odjavo in po potrebi konča uporabnikovo sejo v vseh povezanih aplikacijah. Ohranjanje varnosti in celovitosti namestitve enotne prijave (SSO) z več aplikacijami zahteva to dvosmerno komunikacijo.

Skript JavaScript je bistvenega pomena za sledenje dejavnosti uporabnikov v realnem času na sprednji strani. Vsakič, ko uporabnik komunicira s programom, ponastavimo časovno omejitev seje z uporabo poslušalcev dogodkov, kot sta `onmousemove} in `onkeypress`. Časovnik, ki je bil nastavljen z `setTimeout()`, opozori uporabnika in ga samodejno odjavi iz SP (MyApp), ko uporabnik postane nedejaven. Po odjavi se postopek odjave SAML 2.0, ki je bil prej zajet, zažene s skriptom sprednjega dela, ki pošlje zahtevo SLO v zaledje z uporabo `fetch()`. Ta tehnika zagotavlja, da se nedejavnost na ravni SP obravnava takoj, varno in brez napak.

Pri integraciji SAML 2.0 in upravljanje seje so združeni, uporabniška izkušnja je brezhibna in upoštevani so varnostni standardi. Da bi preprečili, da bi uporabnik med nedejavnostjo ostal overjen dlje, kot je dovoljeno, časovna omejitev seje sproži tako lokalno odjavo SP kot odjavo IDP. Čeprav SAML 2.0 ne zahteva nobenega posebnega ravnanja v zvezi s časovnimi omejitvami seje, je na splošno sprejeta kot najboljša praksa uporaba poteka seje za začetek SLO. S končanjem nedejavnih sej vzpostavi ravnotežje med varnostjo in uporabniško izkušnjo, tako da omogoči sinhronizirane odjave na različnih platformah, povezanih s SSO.

// Required modules for Node.js and SAML SSO
const express = require('express');
const session = require('express-session');
const saml2 = require('saml2-js');
const app = express();

// Service Provider (SP) setup
const sp = new saml2.ServiceProvider({
  entity_id: "http://myapp.com/metadata.xml",
  private_key: fs.readFileSync("./cert/sp-private-key.pem").toString(),
  certificate: fs.readFileSync("./cert/sp-certificate.pem").toString(),
  assert_endpoint: "http://myapp.com/assert"
});

// Identity Provider (IDP) setup
const idp = new saml2.IdentityProvider({
  sso_login_url: "https://login.microsoftonline.com/sso",
  sso_logout_url: "https://login.microsoftonline.com/logout",
  certificates: fs.readFileSync("./cert/idp-certificate.pem").toString()
});

// Session management
app.use(session({
  secret: 'mySecretKey',
  resave: false,
  saveUninitialized: true,
  cookie: { maxAge: 600000 } // Set session expiration time
}));

// Middleware to handle session timeout and SLO
app.use((req, res, next) => {
  if (req.session.expires && Date.now() > req.session.expires) {
    sp.create_logout_request_url(idp, {}, (err, logout_url) => {
      if (err) return res.status(500).send("Logout error");
      return res.redirect(logout_url); // Trigger SLO
    });
  } else {
    next(); // Continue if session is valid
  }
});

app.listen(3000, () => {
  console.log("Server running on port 3000");
});

// Define variables for session timeout
let timeoutDuration = 600000; // 10 minutes
let timeoutTimer;

// Reset the timer on any user interaction
function resetTimer() {
  clearTimeout(timeoutTimer);
  timeoutTimer = setTimeout(triggerLogout, timeoutDuration);
}

// Trigger logout function
function triggerLogout() {
  alert("Session expired due to inactivity.");
  window.location.href = "/logout"; // Redirect to SP logout
}

// Monitor user actions
window.onload = resetTimer;
document.onmousemove = resetTimer;
document.onkeypress = resetTimer;

// SLO event triggered after logout
function sendSLORequest() {
  fetch('/api/slo', { method: 'POST' })
    .then(response => {
      if (response.ok) {
        console.log("SLO request sent to IDP");
      }
    })
    .catch(err => console.error("SLO request failed", err));
}

Raziskovanje SAML 2.0: Enkratna odjava in časovna omejitev nedejavnosti

Kako obravnava SAML 2.0 Single Log Out (SLO). nedejavnost na ravni ponudnika storitev (SP) je kritična komponenta za upravljanje. Čeprav je očitno, da bi morala ročna odjava na SP povzročiti tudi odjavo ponudnika identitete (IDP), časovne omejitve seje, ki jih povzroči nedejavnost, zapletejo zadeve. Standard SAML 2.0 ne navaja jasno, kako naj se obravnava SLO ob poteku seje. Vendar pa to omogoča sprejetje najboljših praks, ki lahko izboljšajo uporabniško izkušnjo in varnost.

Na primer, uporabniki, ki se prijavijo v aplikacijo, kot je MyApp prek Microsoft Entra (IDP), pogosto ostanejo prijavljeni v IDP, tudi potem ko so zaradi nedejavnosti izključeni iz SP. Če uporabnik meni, da je popolnoma odjavljen, medtem ko druge aplikacije, ki uporabljajo isto enotno prijavo, še vedno delujejo, lahko to povzroči varnostni pomisleki. Nastavitev upravljanja sej SAML za posnemanje dogodka časovne omejitve SP na ravni IDP in zagotavljanje sinhroniziranih odjav je eden od načinov za zmanjšanje tega tveganja.

Drugi dejavnik je implementacija tehnik zaznavanja nedejavnosti kode frontend. Razvijalci lahko predvidijo čas nedejavnosti in opozorijo uporabnike pred potekom seje z uporabo poslušalcev dogodkov za dejavnost uporabnikov. Z uporabo tega lahko uporabniki obdržijo nadzor nad svojimi sejami in zagotovijo, da njihova SSO seja ne teče neprekinjeno. V okolju, integriranem s sistemom SSO, lahko razvijalci ohranijo varnost in udobje uporabnika z doseganjem ravnovesja med temi dejavniki.