Översikt

De flesta har bara hört talas om SSO – Single Sign On – vi har byggt vårt företag baserat på SSO. Single Sign On är hur du verifierar din identitet bara en gång, och baserat på det kan du komma åt/logga in på flera anslutna applikationer. Detta ökar säkerhetsnivån genom att eliminera behovet av en massa olika inloggningsuppgifter; och genom att krympa attackytan kan du minimera exponeringen och få ökad säkerhet för den yta som exponeras.

Denna säkerhet kan tas ett steg längre genom att lägga till SLO - Single Log Out - det logiska, men ofta bortglömda nästa steget i identitetssäkerhet och sessionshantering.

Enkel utloggning (SLO) är en funktion som säkerställer att en användare automatiskt loggas ut från alla anslutna autentiseringssystem – som OAuth-leverantören eller identitetsleverantören (IdP) – när de loggar ut från den primära applikationen – i det här fallet en Drupal-webbplats.

När en användare loggar ut från Drupal avslutas även sessionen hos IdP:n. Detta skapar ett säkert utloggningsscenario som omfattar alla integrerade applikationer.

Förkunskaper:

I det här avsnittet diskuterar vi allt från krav och implementeringsprocess till resultat.

OAuth-klientmodul

Ladda ner modul

Problemet som ingen först märker

Tänk dig en organisation där användare autentiserar sig via en central OAuth-leverantör eller identitetsleverantör och får tillgång till flera applikationer som HR-portaler, dashboards, interna verktyg och kundvända plattformar.

Alla applikationer är anslutna till och tillgängliga via den centrala/primära Drupal-applikationen.

Eftersom Drupal-applikationen är den primära ingångspunkten, skulle en användare som antar att Drupal-utloggningen skulle vara den primära utgången inte ha fel.

Men utan att SLO gör sitt bakom kulisserna är deras session hos identitetsleverantören fortfarande aktiv.

Detta betyder, i teorin:

• En icke-autentiserad användare kan öppna en ansluten applikation igen utan att bli ombedd att logga in.
• På delade eller publika system kan nästa person oavsiktligt få åtkomst.

I känsliga miljöer – den typ som Drupal specialiserar sig på – blir detta ett allvarligt problem. Både vad gäller efterlevnad och dataskydd.

Systemet ser bara säkert ut, men det är det inte.

Där en enda utloggning förändrar spelet

Enkel utloggning säkerställer att när en användare loggar ut från Drupal avslutas varje ansluten (autentiserad) session, inklusive sessionen hos OAuth-leverantören eller identitetsleverantören. Istället för att stanna vid applikationslagret slutför SLO utloggningsresan från början till slut.

När SLO är aktiverat:

• När Drupal initierar utloggningsprocessen skickas en utloggningsbegäran till OAuth-leverantörens slutpunkt för sessionen.
• Användarens OAuth-providersession avslutas.
• Användaren omdirigeras till en definierad utloggningsdestination i OAuth-klient.
• Och eftersom sessionen på leverantörssidan har avslutats, skulle alla framtida åtkomstförfrågningar från någon av de anslutna applikationerna misslyckas, och alla sessioner skulle avslutas – och användarna skulle tvingas att autentisera sig på nytt.

Enkelt klick - Enkel utloggning

Genomförande

• Installera och konfigurera först miniOrange Drupal OAuth-klient modul. Detta installationsguide hjälper dig att konfigurera modulen.
• Markera sedan rutan för Aktivera enkel utloggning i avsnittet Klientinställningar under fliken Klientkonfiguration.
• Ange OAuth-leverantören eller IdP-URL:en i textfältet IDP End Session Endpoint för att logga ut användaren från identitetsleverantören när de loggar ut från Drupal-webbplatsen.
• Omdirigerings-URI-parameternamn baserat på din identitetsleverantör. Detta är parametern som innehåller omdirigerings-URL:en efter utloggning. Du kan ändra parameternamnet baserat på din identitetsleverantör.
• Nu kan du se kryssrutan Inkludera ID-token i kryssrutan Slutpunkt för session.
• Om du vill använda den här funktionen, navigera till fliken Modulinställningar genom att klicka på länken modulinställningar.
• Scrolla ner till avsnittet Tokenlagring, aktivera sedan Lagra token i användarsession och markera kryssrutan ID-token.
• Scrolla sedan ned och klicka på knappen Spara konfiguration.
• Markera sedan kryssrutan Inkludera ID-token i slutpunkten för sessionen och ange ID-tokenparameterns namn i textfältet baserat på din IdP- eller OAuth-leverantör.
• Scrolla sedan ner och klicka på knappen Spara.
• Det var allt, du har konfigurerat funktionen Enkel utloggning.

Resultat

I moderna autentiseringsekosystem är partiell/felaktig utloggning en tyst risk. Användare litar på utloggningsknappen – men utan SLO kan det förtroendet vara felplacerat.

Tandemlösningen med SSO och SLO säkerställer att din inloggning är säker, och när ditt jobb är klart förstörs alla anslutna sessioner vid en lyckad utloggning. Det betyder inga zombie-sessioner; ingen risk för oavsiktlig konto- eller sessionskapning; och inga säkerhetsblinda fläckar.