Marché

La plupart des gens connaissent l'authentification unique (SSO) ; d'ailleurs, notre entreprise s'est construite sur ce principe. L'authentification unique permet de vérifier son identité une seule fois et d'accéder ensuite à plusieurs applications connectées. Elle renforce la sécurité en éliminant le besoin de multiples identifiants ; en réduisant la surface d'attaque, elle minimise l'exposition et améliore la sécurité des zones exposées.

Cette sécurité peut être renforcée par l'ajout de SLO (Single Log Out), l'étape suivante logique, mais souvent oubliée, en matière de sécurité des identités et de gestion des sessions.

La déconnexion unique (SLO) est une fonctionnalité qui garantit qu'un utilisateur est automatiquement déconnecté de tous les systèmes d'authentification connectés - tels que le fournisseur OAuth ou le fournisseur d'identité (IdP) - lorsqu'il se déconnecte de l'application principale - dans ce cas, un site Web Drupal.

Lorsqu'un utilisateur se déconnecte de Drupal, la session auprès du fournisseur d'identité est également fermée. Ceci crée un scénario de déconnexion sécurisé qui s'applique à toutes les applications intégrées.

Pré-requis :

Dans cette section, nous discuterons de tout, des exigences et du processus de mise en œuvre jusqu'aux résultats.

Module client OAuth

Télécharger le module

Le problème que personne ne remarque au début

Imaginez une organisation où les utilisateurs s'authentifient via un fournisseur OAuth ou un fournisseur d'identité central et accèdent à de multiples applications telles que des portails RH, des tableaux de bord, des outils internes et des plateformes destinées aux clients.

Toutes les applications sont connectées à l'application Drupal centrale/principale et accessibles via celle-ci.

Étant donné que l'application Drupal est le principal point d'entrée, un utilisateur qui supposerait que la déconnexion Drupal serait le principal point de sortie ne serait pas dans l'erreur.

Mais sans l'intervention de SLO en coulisses, leur session auprès du fournisseur d'identité reste active.

Cela signifie, en théorie :

• Un utilisateur non authentifié peut rouvrir une application connectée sans être invité à se connecter.
• Sur les systèmes partagés ou publics, une autre personne pourrait y accéder involontairement.

Dans les environnements sensibles, comme ceux pour lesquels Drupal est spécialisé, cela devient un problème majeur, tant en matière de conformité que de protection des données.

Le système a l'air sécurisé, mais il ne l'est pas.

Là où la déconnexion unique change la donne

La déconnexion unique garantit que lorsqu'un utilisateur se déconnecte de Drupal, toutes les sessions connectées (authentifiées) sont fermées, y compris la session auprès du fournisseur OAuth ou du fournisseur d'identité. Au lieu de s'arrêter à la couche applicative, la déconnexion unique prend en charge l'intégralité du processus.

Lorsque SLO est activé :

• Une fois que Drupal initie le processus de déconnexion, une requête de déconnexion est envoyée au point de terminaison de fin de session du fournisseur OAuth.
• La session du fournisseur OAuth de l'utilisateur est terminée.
• L'utilisateur est redirigé vers une destination de déconnexion définie dans le Client OAuth.
• Et puisque la session côté fournisseur a été interrompue, toutes les futures demandes d'accès provenant des applications connectées échoueront, toutes les sessions seront interrompues et les utilisateurs seront obligés de se réauthentifier.

Déconnexion en un clic

Mise en œuvre

• Tout d'abord, installez et configurez le miniOrange Drupal OAuth client module. Ceci guide d'installation vous aidera à configurer le module.
• Ensuite, dans la section Paramètres client, sous l'onglet Configuration client, cochez la case Activer la déconnexion unique.
• Saisissez l'URL du fournisseur OAuth ou du fournisseur d'identité dans le champ de texte « Point de terminaison de session du fournisseur d'identité » pour déconnecter l'utilisateur du fournisseur d'identité lorsqu'il se déconnecte du site Drupal.
• Le nom du paramètre d'URI de redirection dépend de votre fournisseur d'identité ; il contient l'URL de redirection après déconnexion. Vous pouvez modifier ce nom en fonction de votre fournisseur d'identité.
• Vous pouvez maintenant voir l'option « Inclure le jeton d'identification » dans la case à cocher « Point de terminaison de session ».
• Pour utiliser cette fonctionnalité, accédez à l'onglet « Paramètres du module » en cliquant sur le lien correspondant.
• Faites défiler vers le bas jusqu'à la section Stockage des jetons, puis activez l'option Stocker le jeton dans la session utilisateur et cochez la case Jeton d'identification.
• Ensuite, faites défiler vers le bas et cliquez sur le bouton Enregistrer la configuration.
• Ensuite, cochez la case « Inclure le jeton d'identification dans le point de terminaison de session » et saisissez le nom du paramètre du jeton d'identification dans le champ de texte en fonction de votre fournisseur d'identité ou OAuth.
• Ensuite, faites défiler vers le bas et cliquez sur le bouton Enregistrer.
• Voilà, vous avez configuré avec succès la fonctionnalité de déconnexion unique.

Résultat

Dans les écosystèmes d'authentification modernes, une déconnexion partielle ou incorrecte représente un risque latent. Les utilisateurs font confiance au bouton de déconnexion, mais sans SLO (Single Loan Offender), cette confiance peut être mal placée.

La solution combinée SSO et SLO garantit la sécurité de votre connexion. Une fois votre tâche terminée, toutes les sessions connectées sont détruites lors d'une déconnexion réussie. Ainsi, aucune session fantôme n'est possible, aucun risque de détournement accidentel de compte ou de session, et aucune faille de sécurité n'est à craindre.