Visão geral

A maioria das pessoas só ouviu falar de SSO – Single Sign-On (Autenticação Única) – aliás, nós construímos nossa empresa com base em SSO. O Single Sign-On permite que você verifique sua identidade apenas uma vez e, com base nisso, acesse/faça login em vários aplicativos conectados. Isso adiciona uma camada de segurança, eliminando a necessidade de várias credenciais diferentes; e, ao reduzir a superfície de ataque, você minimiza a exposição e aumenta a segurança da área exposta.

Essa segurança pode ser aprimorada com a adição do SLO (Single Logout - Logout Único) - o próximo passo lógico, porém frequentemente esquecido, na segurança de identidade e gerenciamento de sessões.

O Single Logout (SLO, na sigla em inglês) é um recurso que garante que um usuário seja desconectado automaticamente de todos os sistemas de autenticação conectados — como o provedor OAuth ou o Provedor de Identidade (IdP) — ao sair do aplicativo principal — neste caso, um site Drupal.

Quando um usuário inicia o processo de logout do Drupal, a sessão no IdP também é encerrada. Isso cria um cenário de logout seguro que abrange todos os aplicativos integrados.

Pré-requisitos:

Nesta seção, discutiremos tudo, desde os requisitos e o processo de implementação até os resultados.

Módulo de cliente OAuth

Baixar módulo

O problema que ninguém percebe à primeira vista.

Imagine uma organização onde os usuários se autenticam por meio de um provedor OAuth central ou Provedor de Identidade e acessam vários aplicativos, como portais de RH, painéis de controle, ferramentas internas e plataformas voltadas para o cliente.

Todos os aplicativos estão conectados e acessíveis através do aplicativo Drupal central/primário.

Como o aplicativo Drupal é o principal ponto de entrada, um usuário que assume que o logout do Drupal seria o principal ponto de saída não estaria errado.

Mas, mesmo sem o SLO fazendo seu trabalho nos bastidores, a sessão deles no Provedor de Identidade permanece ativa.

Isso significa, em teoria:

• Um usuário não autenticado pode reabrir um aplicativo conectado sem ser solicitado a fazer login.
• Em sistemas compartilhados ou públicos, a próxima pessoa pode obter acesso sem intenção.

Em ambientes sensíveis — como aqueles em que o Drupal se especializa — isso se torna um problema sério, tanto em termos de conformidade quanto de privacidade de dados.

O sistema parece seguro, mas não é.

Onde o Single Logout muda tudo

O Single Logout garante que, quando um usuário faz logout do Drupal, todas as sessões conectadas (autenticadas) sejam encerradas, incluindo a sessão no provedor OAuth ou no provedor de identidade. Em vez de parar na camada de aplicação, o SLO completa o processo de logout de ponta a ponta.

Quando o SLO está ativado:

• Assim que o Drupal inicia o processo de logout, uma solicitação de logout é enviada para o endpoint de fim de sessão do provedor OAuth.
• A sessão do usuário com o provedor OAuth foi encerrada.
• O usuário é redirecionado para um destino de logout definido no Cliente OAuth.
• E como a sessão no lado do provedor foi encerrada, todas as solicitações de acesso futuras de qualquer um dos aplicativos conectados falharão, e todas as sessões serão encerradas - e os usuários serão forçados a se autenticar novamente.

Um clique - Logout único

Implementação

• Primeiro, instale e configure o Cliente OAuth miniOrange para Drupal módulo. Este guia de configuração irá ajudá-lo a configurar o módulo.
• Em seguida, na seção Configurações do Cliente, na guia Configuração do Cliente, marque a caixa Ativar logout único.
• Insira o provedor OAuth ou a URL do IdP no campo de texto "Ponto de extremidade de sessão final do IdP" para desconectar o usuário do provedor de identidade quando ele sair do site Drupal.
• O nome do parâmetro URI de redirecionamento é baseado no seu provedor de identidade e contém a URL de redirecionamento após o logout. Você pode alterar o nome do parâmetro de acordo com o seu provedor de identidade.
• Agora você pode ver o token de ID incluído na caixa de seleção "Endpoint de sessão final".
• Se você deseja utilizar esse recurso, acesse a guia Configurações do módulo clicando no link Configurações do módulo.
• Desça até a seção Armazenamento de tokens, ative a opção Armazenar token na sessão do usuário e marque a caixa de seleção Token de ID.
• Em seguida, role a página para baixo e clique no botão Salvar configuração.
• Em seguida, marque a caixa de seleção "Incluir token de ID no endpoint de finalização da sessão" e insira o nome do parâmetro do token de ID no campo de texto, de acordo com seu provedor de IdP ou OAuth.
• Em seguida, role a página para baixo e clique no botão Salvar.
• Pronto! Você configurou com sucesso o recurso de Logout Único.

Resultado

Nos ecossistemas de autenticação modernos, o logout parcial ou inadequado representa um risco silencioso. Os usuários confiam no botão de logout, mas sem um SLO (Acordo de Nível de Serviço), essa confiança pode ser mal depositada.

A solução conjunta de SSO e SLO garante que seu login seja seguro e, assim que sua tarefa for concluída, todas as sessões conectadas sejam destruídas após um logout bem-sucedido. Isso significa que não haverá sessões zumbis; nenhuma chance de sequestro acidental de conta ou sessão; e nenhuma vulnerabilidade de segurança.