SSO - Cosa dovrebbe accadere quando l'utente fa clic su "Esci"

Question

SSO - Cosa dovrebbe accadere quando l'utente fa clic su "Esci"

#1 da (2 voti)
#2 da (1 voti)
#3 da (0 voti)

4

Stiamo aggiungendo la possibilità per le imprese di configurare l'accesso alla nostra applicazione Web tramite provider single-sign-on esterni (inizialmente tramite WS-FED, tuttavia, le versioni future supporteranno protocolli aggiuntivi). L'autenticazione nome utente / password sarà disponibile anche per i clienti che non hanno / vogliono configurare un provider SSO esterno e anche come fall-back nei casi in cui vi sia qualche problema con il provider SSO.

Che cosa dovrebbe accadere quando gli utenti fanno clic sul pulsante "Esci" nella nostra applicazione?

Sono disconnessi dalla nostra applicazione solo in modo che altre applicazioni che si autenticano tramite il provider SSO siano ancora disponibili.
Come sopra, ma richiediamo inoltre la ri-autenticazione con il provider SSO.
Sono completamente disconnessi dal loro provider SSO

sso

posta Justin 29.02.2016 - 11:49

fonte

3 risposte

Leggi altre domande sui tag sso

Perché è pericoloso consentire a un server interno di parlare a Internet (a un indirizzo IP specifico)? Protezione della comunicazione Peer to Peer

score 2 · Answer 1

Questo è uno di quei punti in cui l'usabilità e la sicurezza generano risposte radicalmente diverse.

Da un punto di vista dell'usabilità ho osservato i seguenti argomenti:

Quando eseguo il logout su Sito a ho solo il modulo di disconnessione qui e posso continuare a utilizzare le altre posizioni in cui sono ancora connesso.
Quando premo il logout su Sito a in realtà viene reindirizzato a Sito b (il portale) e solo quando eseguo il logout in quel modulo sono effettivamente disconnesso. (usato principalmente nel contesto di una intranet o di un ambiente simile)

Da un punto di vista della sicurezza ho osservato i seguenti argomenti:

Quando un utente fa un logout, annulla immediatamente TUTTE le sessioni per questo utente e lo disconnette da qualsiasi parte di tutto il sistema dell'SSO.
Quando un utente esegue un logout, informa il provider SSO e non consente alcuna nuova sessione e disconnessione dall'applicazione corrente. ma non esiste alcun logout implicito per tutti i sistemi nell'SSO. (Solitamente mitigato con tempi di sessione brevi / vite di cookie). Questo può essere un limite tecnico dovuto alle tecnologie coinvolte (e / o licenze)

score 1 · Answer 2

Nella maggior parte dei sistemi di autenticazione SSO che ho usato, Logout di solito significa disconnettersi dal provider di autenticazione e da tutti i sistemi connessi.

In alcune applicazioni mal scritte e nel sistema SSO, l'applicazione può memorizzare nella cache l'autenticazione e potrebbe non notare che la sessione che stanno utilizzando è già scaduta, ma l'applicazione dovrebbe ricontrollare periodicamente la validità della sessione per evitare che questa situazione rimanga per molto tempo. I migliori sistemi SSO sono in grado di postare nuovamente le applicazioni, per costringerli a disconnettersi immediatamente piuttosto che in base al controllo dell'applicazione periodicamente.

score 0 · Answer 3

0

Probabilmente non c'è una risposta giusta qui, ma sosterrò che "Esci" si applica solo al tuo sito.

Stack Exchange come esempio

Uso l'opzione "Accedi con Google". Quando faccio clic su Esci, vedo questo:

risposta data 12.09.2018 - 16:54

fonte