Најбоље праксе САМЛ 2.0 за једно

Daniel Marino

петак, 27. септембар 2024. 22:50:53

Разумевање САМЛ 2.0 појединачног одјављивања након истека сесије

Пошто САМЛ 2.0 системи јединствене пријаве (ССО) омогућавају корисницима да се пријаве у различите апликације користећи један скуп акредитива, они су значајно поједноставили аутентификацију корисника. Али постоје и значајни проблеми са појмом Сингле Лог Оут (СЛО), посебно у вези са оним што се дешава када сесија корисника истекне код добављача услуга (СП) пошто се нису пријавили. У овом случају, да ли би добављач идентитета (ИДП) сесија такође завршила?

Управљање сесијама између СП и ИДП-а је од суштинског значаја за обезбеђивање безбедног и ефикасног приступа у контексту САМЛ 2.0. Није увек очигледно када се СП сесија завршава да ли корисник и даље треба да буде повезан са ИДП-ом, што би могло да утиче на друге апликације које су повезане са истим ИДП-ом. Ово поставља питања о употребљивости као и о безбедности.

Многа предузећа морају успоставити јасну најбољу праксу за руковање овим временским ограничењима сесије, посебно она која користе интерфејсе као што је Мицрософт Ентра. Да ли је боље да се сесија СП-а заустави једноставно на нивоу СП-а или би требало да резултира и СЛО-ом који одјављује корисника са њиховог ИДП налога?

Користећи примере из стварног света за илустрацију најефикаснијих техника за руковање временским ограничењима сесије и гарантовање безбедности и употребљивости, овај рад испитује стандардне праксе и стандарде за руковање САМЛ 2.0 СЛО догађајима у таквим ситуацијама.

Цомманд	Пример употребе
session()	Користи се у Екпресс апликацији за контролу корисничких сесија. У примеру, помаже у праћењу активности корисника и временских ограничења сесије тако да се логика одјаве може покренути када је то потребно.
maxAge	Одређује временски оквир у којем је колачић сесије важећи. У овом случају, тајмер је подешен да истекне након 600000 милисекунди или 10 минута и покрене догађај одјаве.
create_logout_request_url()	Када се сесија добављача услуга заврши, УРЛ захтева за једнократну одјаву (СЛО) креиран овим методом библиотеке САМЛ2 прослеђује се добављачу идентитета (ИДП).
readFileSync()	Синхроно чита датотеке кључева и сертификате, што је неопходно за подешавање САМЛ2 добављача услуга. Да би добављач услуга и добављач идентитета безбедно комуницирали, ови сертификати су неопходни.
assert_endpoint	Означава УРЛ који ће, након успешне аутентификације, добављач идентитета користити за пренос САМЛ тврдње. Овим се гарантује ниво провјере аутентичности корисника сервиса.
window.onload	Овај догађај се користи за ресетовање тајмера неактивности сесије у фронтенду. Обезбеђује да када корисник први пут учита програм, тајмер почиње изнова.
onmousemove	Да би ресетовао тајмер сесије, овај слушалац догађаја детектује сваки покрет миша. То је од суштинског значаја за држање на оку на понашање корисника и спречавање случајних временских ограничења сесије.
fetch()	Користи се за асинхроно слање СЛО захтева, након истека сесије, серверу. Да би се повезали са добављачем идентитета и одјавили корисника из ИДП-а, он покреће позадинску логику.
setTimeout()	Ова функција у коду фронтенда узрокује да се догађај временског ограничења сесије деси након унапред одређене количине неактивности. Од суштинског је значаја за праћење понашања корисника и спровођење безбедносних прописа.

Оптимизација појединачне одјаве помоћу САМЛ 2.0 управљања временским ограничењем сесије

Коришћење Ноде.јс и Екпресс, позадинска скрипта за руковање појединачним одјављивањем (СЛО) фокусира се на могућност праћења истека корисничке сесије и иницирања секвенце одјаве на нивоима добављача услуга (СП) и добављача идентитета (ИДП). Управљање експресним сесијама лежи у срцу овог резоновања. Ми успостављамо тачку покретања тако што постављамо сесију да се прекине након унапред одређене количине неактивности – десет минута, у нашем примеру. Када се сесија заврши, скрипта користи метод `цреате_логоут_рекуест_урл()} да покрене САМЛ 2.0 захтев за одјаву, који се затим повезује са ИДП-ом (у овом случају, Мицрософт Ентра) да бисте у потпуности завршили корисничку сесију. Ово повећава безбедност гарантујући да се корисник потпуно одјавио са система.

Учитавамо САМЛ сертификати и улази у апликацију помоћу команде `реадФилеСинц()} да би се омогућила безбедна комуникација између СП-а (МиАпп) и ИДП-а (Мицрософт Ентра). Потврђивањем аутентичности захтева за одјаву, ови сертификати штите од илегалних одјава и гарантују да комуникација остаје шифрована и потврђена. Корисник се шаље на УРЛ захтева за одјаву након што је генерисан, где ИДП управља одјавом и, ако је потребно, завршава сесију корисника у свим повезаним апликацијама. Одржавање безбедности и интегритета инсталација са јединственом пријавом са више апликација (ССО) захтева ову двосмерну комуникацију.

ЈаваСцрипт скрипта је неопходна за праћење активности корисника у реалном времену на предњем крају. Сваки пут када корисник ступи у интеракцију са програмом, ми ресетујемо временско ограничење сесије коришћењем слушалаца догађаја као што су `онмоусемове} и `онкеипресс`. Тајмер који је постављен са `сетТимеоут()` упозорава корисника и аутоматски га одјављује из СП-а (МиАпп) када корисник постане неактиван. Након одјаве, поступак одјаве САМЛ 2.0 који је претходно покривен почиње тако што фронтенд скрипта шаље СЛО захтев бацкенд-у користећи `фетцх()`. Ова техника осигурава да се неактивност на нивоу СП решава брзо, безбедно и без грешке.

Када САМЛ 2.0 интеграција и управљање сесијом су комбиновани, корисничко искуство је беспрекорно и безбедносни стандарди се поштују. Да би се спречило да корисник остане аутентификован дуже него што је дозвољено током неактивности, временско ограничење сесије покреће и одјаву локалног СП-а и одјаву ИДП-а. Иако САМЛ 2.0 не захтева никакво посебно понашање у вези са временским ограничењима сесије, опште је прихваћено као најбоља пракса да се истек сесије користи за покретање СЛО. Прекидањем неактивних сесија, успоставља се равнотежа између безбедности и корисничког искуства омогућавајући синхронизовано одјављивање на различитим платформама повезаним са ССО.

Коришћење Ноде.јс и Екпресс-а за руковање САМЛ 2.0 појединачном одјавом са временским ограничењем сесије

Позадинска метода за управљање САМЛ 2.0 СЛО са временским ограничењима сесије добављача услуга користећи Ноде.јс и Екпресс. Ово решење користи САМЛ захтеве да провери да ли је сесија истекла и да покрене СЛО на нивоу добављача идентитета.

// Required modules for Node.js and SAML SSO
const express = require('express');
const session = require('express-session');
const saml2 = require('saml2-js');
const app = express();

// Service Provider (SP) setup
const sp = new saml2.ServiceProvider({
  entity_id: "http://myapp.com/metadata.xml",
  private_key: fs.readFileSync("./cert/sp-private-key.pem").toString(),
  certificate: fs.readFileSync("./cert/sp-certificate.pem").toString(),
  assert_endpoint: "http://myapp.com/assert"
});

// Identity Provider (IDP) setup
const idp = new saml2.IdentityProvider({
  sso_login_url: "https://login.microsoftonline.com/sso",
  sso_logout_url: "https://login.microsoftonline.com/logout",
  certificates: fs.readFileSync("./cert/idp-certificate.pem").toString()
});

// Session management
app.use(session({
  secret: 'mySecretKey',
  resave: false,
  saveUninitialized: true,
  cookie: { maxAge: 600000 } // Set session expiration time
}));

// Middleware to handle session timeout and SLO
app.use((req, res, next) => {
  if (req.session.expires && Date.now() > req.session.expires) {
    sp.create_logout_request_url(idp, {}, (err, logout_url) => {
      if (err) return res.status(500).send("Logout error");
      return res.redirect(logout_url); // Trigger SLO
    });
  } else {
    next(); // Continue if session is valid
  }
});

app.listen(3000, () => {
  console.log("Server running on port 3000");
});

Коришћење ЈаваСцрипт фронтенд-а и детекције временског ограничења мировања за руковање САМЛ 2.0 СЛО

У фронтенд методи, временско ограничење сесије се детектује коришћењем ванилла ЈаваСцрипт-а за надгледање неактивности корисника и покретање једнократног одјављивања (СЛО). Ово говори добављачу услуга да изда СЛО захтев добављачу идентитета.

// Define variables for session timeout
let timeoutDuration = 600000; // 10 minutes
let timeoutTimer;

// Reset the timer on any user interaction
function resetTimer() {
  clearTimeout(timeoutTimer);
  timeoutTimer = setTimeout(triggerLogout, timeoutDuration);
}

// Trigger logout function
function triggerLogout() {
  alert("Session expired due to inactivity.");
  window.location.href = "/logout"; // Redirect to SP logout
}

// Monitor user actions
window.onload = resetTimer;
document.onmousemove = resetTimer;
document.onkeypress = resetTimer;

// SLO event triggered after logout
function sendSLORequest() {
  fetch('/api/slo', { method: 'POST' })
    .then(response => {
      if (response.ok) {
        console.log("SLO request sent to IDP");
      }
    })
    .catch(err => console.error("SLO request failed", err));
}

Истраживање САМЛ 2.0: Једно одјављивање и временско ограничење неактивности

Како се САМЛ 2.0 Сингле Лог Оут (СЛО) адресира неактивност на нивоу добављача услуга (СП) је критична компонента за управљање. Иако је очигледно да би ручна одјава на СП требало да изазове и одјаву добављача идентитета (ИДП), временска ограничења сесије изазвана неактивношћу компликују ствари. Стандард САМЛ 2.0 не наводи јасно како треба поступати са СЛО-ом по истеку сесије. Ово, међутим, омогућава усвајање најбољих пракси које могу побољшати корисничко искуство и безбедност.

На пример, чак и након што су искључени из СП-а због неактивности, корисници који се пријављују на апликацију као што је МиАпп преко Мицрософт Ентра (ИДП) често остају пријављени на ИДП. Ако корисник верује да је потпуно одјављен док друге апликације које користе исти ССО још увек раде, то би могло да повећа забринутости за безбедност. Подешавање управљања САМЛ сесијом да би опонашало СП догађај на нивоу ИДП-а и гарантовало синхронизовано одјављивање је један од начина да се смањи овај ризик.

Имплементација техника детекције мировања у фронтенд коду је још један фактор. Програмери могу предвидети време неактивности и упозорити кориснике пре него што сесија истекне коришћењем слушалаца догађаја за активности корисника. Користећи ово, корисници могу да задрже контролу над својим сесијама и постарају се да њихове ССО седница не ради непрекидно. У окружењу интегрисаном у ССО, програмери могу да сачувају безбедност и удобност корисника тако што ће успоставити равнотежу између ових фактора.

Уобичајена питања о САМЛ 2.0 СЛО и временским ограничењима сесије

Шта се дешава на нивоу добављача услуга када истекне сесија?
Обично се корисник одјави из програма када истекне сесија на СП нивоу. Међутим, зависи од тога како је систем постављен, пошто САМЛ 2.0 спецификација не захтева да то изазове СЛО код ИДП-а.
Да ли би СЛО код добављача идентитета требало да буде покренут временским ограничењем сесије добављача услуга?
Ово регулише политика организације. Иако САМЛ 2.0 то не налаже, многи бирају да активирају СЛО код ИДП-а када се СП сесија заврши из безбедносних разлога.
Када се заврши неактивна сесија, како могу да направим СЛО?
Истек сесије се може открити преко позадинског механизма, који затим покреће а create_logout_request_url() поступак за подношење СЛО захтева ИРЛ.
Како се открива неактивност сесије на фронтенду?
Слушаоци догађаја воле као onmousemove и onkeypress се обично користе за праћење неактивности јер ресетују тајмер сваки пут када корисник ступи у интеракцију са апликацијом.
Након одјављивања са СП-а, да ли је безбедно имати отворену сесију ИДП-а?
Безбедносни ризик може настати ако сесија ИДП остане отворена, посебно ако корисник верује да је у потпуности одјавио. Саветује се подешавање СЛО-а за реплицирање истека СП сесије.

Завршавамо САМЛ 2.0 управљање временским ограничењем сесије

Одржавање безбедности у систему ССО захтева да обезбедите да добављач идентитета и добављач услуга синхронизују своје процесе одјаве. Иако САМЛ 2.0 не налаже како треба поступати са временским ограничењима сесије, многа предузећа обрађују појединачне одјаве на јединствен начин.

Препоручује се слање СЛО захтјева сваки пут када се сесија добављача услуга заврши због неактивности како би се побољшала сигурност. Ово осигурава да се корисник одјавио са добављача идентитета као и из апликације, избегавајући нежељени приступ на многим платформама.

Референце и извори за САМЛ 2.0 најбоље праксе

Детаљна документација о стандардима и смерницама за САМЛ 2.0 и Сингле Лог Оут може се наћи у званичном ОАСИС САМЛ 2.0 Цоре Специфицатион .
За увид у Мицрософт Ентра и његову интеграцију са ССО и СЛО, погледајте званичну Мицрософт документацију на Азуре Ацтиве Дирецтори и САМЛ .
Ноде.јс САМЛ библиотека коришћена у примерима, заједно са техникама управљања сесијом, може се даље истражити на Документација библиотеке САМЛ2-јс .
Да бисте разумели најбоље праксе у конфигурисању јединственог пријављивања и управљања сесијом, посетите чланак о ССО најбоље праксе би Аутх0.

Најбоље праксе САМЛ 2.0 за једно одјављивање након неактивности добављача услуга