Übersicht

Bei den Authentifizierungsverfahren OAuth 2.0 und OpenID Connect (OIDC) sind Zugriffstoken bewusst kurzlebig, um die Gefährdung im Falle eines Token-Kompromittierungsfalls zu minimieren. Die Refresh-Token-Unterstützung ermöglicht es dem miniOrange OAuth & OpenID Connect SSO-Plugin für Joomla, im Hintergrund automatisch ein neues Zugriffstoken zu generieren, sobald das aktuelle abgelaufen ist. So bleibt die Benutzersitzung aktiv, ohne dass eine erneute Anmeldung erforderlich ist. Unternehmen können dadurch aus Sicherheitsgründen kurze Token-Gültigkeitszeiten durchsetzen und gleichzeitig ein reibungsloses, unterbrechungsfreies Benutzererlebnis gewährleisten.

Voraussetzungen:

Um die Unterstützung für Aktualisierungstoken in Joomla zu aktivieren, benötigen Sie Folgendes:

miniOrange OAuth-Client-Erweiterung für Joomla

Erweiterung herunterladen

Herausforderung

Läuft ein Zugriffstoken während einer Sitzung auf einer Joomla-Website ab, wird der Benutzer abrupt abgemeldet und zur Anmeldeseite weitergeleitet. Bei Arbeitsabläufen, die eine längere Interaktion erfordern, wie beispielsweise das Bearbeiten von Inhalten, das Ausfüllen langer Formulare oder die Abwicklung von Transaktionen, kann diese plötzliche Unterbrechung zu Datenverlust und einer frustrierenden Benutzererfahrung führen.

Die naheliegende Lösung, die Gültigkeitsdauer von Zugriffstoken zu verlängern, birgt eigene Risiken: Ein abgefangenes Token mit längerer Gültigkeitsdauer bleibt länger angreifbar. Unternehmen befinden sich daher im Dilemma zwischen zwei unerwünschten Szenarien: häufigen Anmeldeunterbrechungen oder einer geschwächten Token-Sicherheit. Eine Zwischenlösung ist durch Standardkonfigurationen allein nicht möglich.

Umsetzung

Das miniOrange OAuth & OpenID Connect SSO-Plugin übernimmt die Token-Erneuerung vollständig im Hintergrund und erfordert lediglich eine einmalige Konfiguration sowohl auf Plugin- als auch auf Identitätsanbieterseite.

Schritt 1: Schließen Sie die initiale OAuth/OIDC-Einrichtung zwischen dem miniOrange-Plugin und Ihrem Identitätsanbieter auf allen relevanten Joomla-Websites ab.

Schritt 2: Aktivieren Sie in Ihrem Identitätsanbieter die Ausstellung von Aktualisierungstoken für den OAuth-Client. Erlauben Sie in Keycloak den Grant-Typ „refresh_token“ und aktivieren Sie den Offlinezugriff . Fügen Sie in Azure AD den Bereich „offline_access“ in die Autorisierungsanfrage ein.

Schritt 3: Navigieren Sie im Konfigurationsbereich des miniOrange-Plugins zu „ Zusätzliche Funktionen“ und stellen Sie den Grant-Typ auf „Refresh Token Grant“ ein.

Schritt 4: Legen Sie den Schwellenwert für den Ablauf des Zugriffstokens fest , die Pufferzeit vor dem Ablauf, bei der das Plugin proaktiv eine Hintergrunderneuerungsanfrage initiiert.

Schritt 5: Definieren Sie die Lebensdauer des Aktualisierungstokens bei Ihrem Identitätsanbieter/Provider, um die maximale Sitzungsdauer festzulegen, bevor eine vollständige Neuauthentifizierung erforderlich ist, in Übereinstimmung mit den Sicherheitsrichtlinien Ihrer Organisation.

Schritt 6: Speichern und testen Sie, indem Sie sich anmelden und warten, bis das Zugriffstoken seine Ablaufzeit erreicht hat. Stellen Sie sicher, dass die Sitzung ohne Benutzeraufforderung aktiv bleibt.

Fazit

Dank der Unterstützung für Refresh-Token müssen Unternehmen keine Kompromisse mehr zwischen Sicherheit und Benutzerfreundlichkeit eingehen. Kurze Gültigkeitsdauern von Zugriffstoken bleiben als Sicherheitsstandard durchsetzbar, während Benutzer während ihrer gesamten Arbeitssitzungen kontinuierlich und ohne Unterbrechung auf Joomla-Anwendungen zugreifen können. Sicherheits- und IT-Teams behalten zudem die detaillierte Kontrolle über Ablaufdatum und Sitzungsdauer der Refresh-Token, sodass die Lösung die Compliance-Anforderungen des Unternehmens vollständig erfüllt.

Zusätzliche Ressourcen

1. SAML Single Sign-On für Joomla
2. Zugriffssicherheit durch Abschottung – OAuth-Protokoll in Joomla!
3. SAML vs. OAuth in Joomla: Was sollten Sie wählen?
4. Schauen Sie sich unsere Dokumentation an