Uitloggen op een reverse proxy?

[Creatinus]

Wij hebben een webapplicatie draaien waarop verschillende gebruikers verschillende rechten hebben, de applicatie is benaderbaar via een reverse proxy. Nu kan je alleen uitloggen als je je browser afsluit want dan is je session per definitie afgelopen. Maar het is nogal lastig om elke browser af te sluiten als je wilt uitloggen.

Eerst was dit opgelost door in de URL de gebruikersnaam en wachtwoord mee te geven, en aan de hand daarvan kon er op elke pagina gekeken worden wie er ingelogd was. Nu is dit niet alleen een vrij riskante oplossing (ivm hackkers) maar het kan tegenwoordig met IE6 ook niet meer...

Dus ben ik dus op zoek naar gangbare technieken die daarvoor gebruikt worden. Ik weet wel dat er Frontdoor applicaties zijn die hiervoor zijn ontwikkeld, maar eerst maar eens kijken wat er in eigenbeheer mogelijk is niet? Dat het niet zulke gangbare materie blijkt wel als je op zoek gaat, op het internet is er niet veel te vinden namelijk, ik heb wel dit: http://www.modsecurity.org/archive/ReverseProxy-book-1.pdf, maar ik zoek toch wat meer informatie over het technischere hoe dan alleen een pattern. Is er iemand die hier bekend mee is, die weleens met dit bijlte gehakt heeft?

[Creatinus]

Helpt het als ik termen als Clientless VPN, tijdelijke certificaten of SSL VPN laat vallen


Zoals ik het nu zie lijkt mij de tijdelijke certificaten oplossing het beste, maar misschien zijn er nog andere lichten hier?

[Sendy]

Buiten dat je kick niet echt gewenst is (gebruik de [edit] knop in de topic start-post), begrijp ik de volgende zin niet:

Nu kan je alleen uitloggen als je je browser afsluit want dan is je session per definitie afgelopen.

Waarom kan je alleen uitloggen als je je browser afsluit? Een [logout] knop is toch zo gemaakt?

Waarom roep je die termen? Denk je dat dat zin heeft? Waarom?

[Joen]

@Sendy:
Met HTTP Authentication kun je alleen uitloggen als alle browservensters gesloten worden. Je bent (als je geen vensters wilt sluiten) pas uitgelogd als je als andere user weer moet inloggen.

@Creatinus:
Ik zou als ik jou was een andere inlog-methode gaan gebruiiken. Zoals bijvoorbeeld in PHP met sessies gedaan kan worden.

[Sendy]

Oh, dat zal de TS bedoelen. Ik werd verward door het gebruik van het woord "sessie" in de TS.

Als je de "realm" anders maakt wordt er wel opnieuw een wachtwoord gevraagd. Misschien kan je na het drukken op een [logout] knop de realm anders instellen zodat de gebruiken niet meer is ingelogd?

[Creatinus]

Sendy schreef op maandag 04 april 2005 @ 15:24:
Waarom roep je die termen? Denk je dat dat zin heeft? Waarom?

Ik riep die termen omdat ik dacht dat die oplossingen hetgeen kunnen realiseren wat ik voor ogen had...
Gisteren is er nog overleg geweest hier, en een andere inloge methode gaan gebruiken is ook een optie die een bekeken moet worden.

Dus is ik zal eens rondkijken wat de voor en nadelen zijn van verschillende authentication methodes, het moet namelijk zo veilig mogelijk zijn aangezien het over salaris gegevens gaat.

Tips/hint/trucs zijn welkom, en ik ga zelf ook eens op pad in het wereld wijde web


ohw, even ter aanvulling..
Op het moment gebruiken we dus HTTP Authentication, met als nadeel dat je pas uitgelogd bent als je ALLE browsers afsluit.

Cookies is iets te onveilig aangezien daar te makkelijk mee geprutst kan worden
Voor sessies gaat ongeveer hetzelfde op, als is het iets veiliger dan cookies. Je kan natuurlijk in de DB bijgehouden wordt wie er ingelogd is, en dan kan je stellen dat een sessie na 15minuten oid is afgelopen als men niets gedaan heeft. Dit heeft alleen weer als nadeel dat mensen die inloggen, de browser afsluiten en weer willen in loggen niet kunnen inloggen totdat die sessie ook ECHT afgelopen is in de DB.

Tijdelijke certificaten wordt blijkbaar ook moeilijk omdat er op dit moment maar een paar man gebruik maakt van de applicatie maar in de toekomst willen ze dat mensen ook hun salarisstroken kunnen zien, en dat worden nogal veel mensen.

[ Voor 40% gewijzigd door Creatinus op 06-04-2005 11:46 ]

[Sendy]

En het wijzigen van de realm? Is dat geen optie?

Verder zijn sessie's niet veel anders dan een identifier (in een cookie) voor een blok data op de server.

Als je verder kijkt dan PHP (al weet ik niet waar je wel kijkt ) dan kan je met dat idee heel veel dingen doen. Ook redelijk veilig, al ken ik jouw definitie van veilig niet. Je kan natuurlijk regelen dat mensen, na hun browser afgesloten te hebben, weer gewoon kunnen inloggen (dat kan ook met PHP (voordat ik voorstanders van PHP over me heen krijg)). Je kan zelfs de mensen weer automatisch laten inloggen! (maar dat is dan misschien minder veilig )

Ik zou dus objectief (ikzelf kan dat niet, ik bedoel natuurlijk _jij_) kijken welke methoden er zijn om een soort van inlog-staat te bereiken. De eerste scheiding is HTTP auth vs. "eigen scripting". Eigen scripting kan je weer splitsen in "eenvoudige username- en passwordcookies" en "sessies". Je kan vast ook met Flash iets inlog-achtigs bouwen, maar dat is niet veiliger dan sessies.

Ga nu met een (andere) programmeur eens goed na wat je eisen zijn, bedenkt een ontwerp, en bouw die code.

[Creatinus]

Bedankt voor je info, ik ben gisteren bezig geweest. Ik heb gezocht naar HTTP Authenticatie methodes en script methodes. Verder is het nog niet zeker dat we iets ombouwen dat ligt aan de alternatieven die we kunnen bieden, maar er kan dus allen uitgelogd worden met HTTP Authentication als je alle browsers afsluit.


Eerst was dit opgelost door middel in te loggen als een gebruiker zonder rechten. Deze methode werkt echter niet in IE6 (wegens security redenen vermoed ik zo ), zou het veranderen van een realm dan wel gaan? Want dan kan je natuurlijk zorgen dat mensen op een realm komen waar men niets kan. En omdat deze realm in de chache staat moet men als men weer in de eerste realm wil komen weer opnieuw inloggen. Deze opzet bedoel je toch? Als dit mogelijk is, is dit wellicht ook een oplossing.

Ik ga me er nog eens verder in verdiepen, dit is allemaal best intertessante materie

[Sendy]

Kijk het is niet de handigste oplossing. Het is misschien alleen bruikbaar omdat jij dan niet veel code hoeft te wijzigen.

Wat ik precies bedoelde was dat je een soort unieke dynamische realm gebruikt. Zolang de gebruiker dezelfde realm krijg voorgeschoteld, blijft-ie ingelogd. Wil je de gebruiker uitloggen, dan geef je 'm een andere realm. De volgende aanlog zal dan met weer een andere realm gaan.

Je zou je realm dus kunnen opbouwen met een tijd-string erin. Dan is-ie altijd altijd uniek (ahum). Je hoeft er dan alleen voor te zorgen dat de realm tijdens het ingelogd zijn niet veranderd.

Dit is ook allemaal niet makkelijk, maar het is wellicht minder code dan de hele authenticatie code opnieuw implementeren met sessies en cookies.