Beveiliging van 3rd party applicaties

[Navi]

Mijn vraag

Er is een website, daarvoor moet je inloggen. Vanuit deze website kun je doorklikken naar een andere website of 3rd party applicatie die speciaal voor deze user is aangemaakt/neergezet. We willen nu controleren of deze gebruiker wel geauthenticeerd is op de hoofdwebsite, anders mag deze niet bij de applicatie.

Relevante software en hardware die ik gebruik

OpenStack Cloud met VM's.
TYPO3 Hoofdwebsite, PHP/MySQL & Laravel 5.2.

Wat ik al gevonden of geprobeerd heb

Mijn eerste gedachte was een proxy script, waarbij we alle hits naar de andere applicatie via bijvoorbeeld een php proxy laten lopen, de authenticatie checken en de request dan doorlaten.
Directie toegang tot de 3rd party site sluiten we dan af.
Probleem hiermee is dat het een universele oplossing moet zijn, de 3rd party app kan van alles zijn, van een Wordpress site tot een custom pakket en de (PHP)proxy scripts die er zijn, zijn niet al te best, veel applicaties werken niet meer goed of hebben maatwerk nodig.

Heb ook gedacht aan een HTTP Proxy zoals bv Squid, maar het aanpassen van de browser van de gebruiker zodat deze naar de Proxy wijst is niet mogelijk.

We hebben wel controle over de 3rd party apps, we hosten deze zelf op losse VM's die per user aangemaakt worden, dus eventueel software op deze vm installeren zou kunnen. Ook beheren we het netwerk / de IP adressen.

Wat bijvoorbeeld niet kan zijn aanpassingen aan de 3rd party apps zoals implementatie van SAML oid, veelal hebben we geen toegang tot de source van deze apps.

Hebben jullie nog suggesties wat een universele oplossing zou kunnen zijn? Transparant voor de gebruiker?

[ Voor 8% gewijzigd door Navi op 01-07-2016 14:12 ]

[MAX3400]

(HTTP/HTTPS-)access op elke VM alleen toestaan vanaf het IP vanaf de inlog-website?

[Navi]

De bezoekers benaderen de 3rd party apps direct via hun browser, dus zonder een bepaalde vorm van een Proxy die alles routeerd via de hoofdwebsite gaat dat niet werken, en daar zoek ik juist een oplossing voor

[MAX3400]

Navi schreef op vrijdag 01 juli 2016 @ 14:07:
De bezoekers benaderen de 3rd party apps direct via hun browser, dus zonder een bepaalde vorm van een Proxy die alles routeerd via de hoofdwebsite gaat dat niet werken, en daar zoek ik juist een oplossing voor

SSO?

Ik schets het anders; ik host/beheer Citrix-omgevingen. Men logt in op https://portal.bedrijf.com met username & password. Dan krijg je pas te zien welke applicaties wij in Citrix hebben vrijgegeven voor je. Al die applicaties staan ook op (aparte) servers die binnen dezelfde omgeving hangen. En doordat het user-token nu bekend is, kan dat worden doorgestuurd naar, bijvoorbeeld, de applicatie Outlook als je die aanklikt en daarmee wordt je mailbox opgebouwd.

Je zegt dat je alles in eigen beheer hebt op basis van VM's / sites / whatever; dan lijkt het me uitermate zinvoller om naar een universele manier van aanloggen te gaan kijken dan dat je op basis van proxy en (mogelijk) client-detection zaken niet toestaat. Dat is namelijk dweilen met de kraan open zolang je niet weet wat er wel mag

[ Voor 3% gewijzigd door MAX3400 op 01-07-2016 14:15 ]

[Navi]

Dat zou inderdaad heel mooi zijn, maar hoe werkt dat qua servers / applicaties, moet die niet allemaal Citrix ondersteuning hebben? M.a.w hoe controleren die of de gebruiker geauthenticeerd is?

[MAX3400]

Hint: SSO cookies maar met een korte looptijd.

Hoef jij je geen zorgen meer te maken over "wie" naar een bepaald IP wil connecten; zolang het cookie maar door de inlogsite is gezet, komt het allemaal goed.

Ik roep ook maar wat; de technische beschrijving en trusts van jouw omgeving zijn niet geheel duidelijk voor mij op dit moment.

[SPee]

SSO Staat voor Single Sign-on. Dat betekent dat je maar 1 keer hoeft in te loggen en je daarna een "token" krijgt, waarmee je op de andere applicaties mee identificeert.

Het is een universele naam, en er zijn verschillende manieren waarop dit geimplementeerd is.
Citrix gebruikt waarschijnlijk de Kerberos manier (zoals windows).
Iets wat jij daarvoor kunt gebruiken is CAS.

Bij het inloggen krijgt de gebruiker zijn SSO token.
De 3rd party is beveiligt (dmv een proxy) om enkel gebruikers met zo'n SSO token toe te staan.
Dus zonder die SSO token (die hij krijgt bij het inloggen) wordt de toegang geweigerd (mits goed ingeregeld ).

[Navi]

Bedankt voor de antwoorden, de scope van het project wordt toch nog iets breder (er komen namelijk nog andere services bij, niet alleen http/https)

Ik zal hiervoor een nieuw topic openen.

[MAX3400]

Navi schreef op maandag 04 juli 2016 @ 09:09:

Ik zal hiervoor een nieuw topic openen.

Je kan ook je eigen topic (deze) rapporteren met het verzoek om deze te verplaatsen naar het nieuwe/correcte subforum en daarna je topicstart aanpassen. Als de moderators ermee akkoord gaan, mis je niet de input uit dit topic en kan je in de topicstart even puntsgewijs je nieuwe/aangepaste vereisten benoemen en aangeven waar je precies aanvullende vragen over hebt.

/my 2 cents...