Lazy Session - Laptörténet

Bajnokk(AT)niif.hu: /* Session érvényességének ellenőrzése */

2008-09-02T14:35:34Z

‎Session érvényességének ellenőrzése

Bajnokk(AT)niif.hu: ShibSPLazy átnevezve Lazy Session névre

2008-01-09T10:22:16Z

ShibSPLazy átnevezve Lazy Session névre

Bajnokk(AT)niif.hu: kategória javítás

2008-01-07T17:38:56Z

kategória javítás

Bajnokk(AT)niif.hu: /* Request headerek megbízhatósága, lazy session biztonság */ typo

2008-01-03T10:12:01Z

‎Request headerek megbízhatósága, lazy session biztonság: typo

Bajnokk(AT)niif.hu: létrehozás

2008-01-03T10:11:18Z

létrehozás

Új lap

Általában a Shibboleth SP Apache modul csak akkor enged hozzáférést az erőforráshoz (oldalhoz), ha sikerült autentikálnia és autorizálnia a felhasználót (azaz shibboleth session-t létrehozni).

Elképzelhető azonban olyan alkalmazás is, amely azonosítatlan (anonymous) felhasználók számára '''is''' szolgáltat információkat. Ez a wiki is ezen az elven épül fel: bárki olvashatja, de csak bejelentkezett felhasználók szerkeszthetik.

A ''lazy session'' csak a Shibboleth szempontjából "lusta"; a modul csak akkor hoz létre Shibboleth session-t, ha az alkalmazás erre kifejezetten utasítja. Ez azzal jár, hogy:
* az alkalmazásnak tudnia kell, hogy mikor van érvényes Shibboleth session
* az alkalmazás felhasználói interfészén el kell helyezni egy olyan elemet (linket), melynek segítségével a session létrehozható
* magyarul: ''csak Shibboleth-et "beszélő" alkalmazások védhetők lazy session-nel''.

== Lazy session az alkalmazás szemszögéből ==
=== Session érvényességének ellenőrzése ===
Az alkalmazás a Shibboleth attribútumok vizsgálatával győződhet meg arról, hogy létezik-e Session. Célszerű olyan attribútumot választani, amely minden session létrehozáskor biztosan létrejön, ilyen például a '''_SERVER''' tömbből kinyerhető '''HTTP_SHIB_IDENTITY_PROVIDER''' header. Ha ez létezik, akkor biztosan van session.
=== Session létrehozás ===
Mivel a webszerveren futó alkalmazás és a Shibboleth webszerver modul közvetlenül nem tud kommunikálni, ezért szükséges, hogy a felhasználót valahogyan egy megfelelő URL-re (a [[SessionInitiator]] URL-jére). Ez az URL általában így áll össze:
* metódus: <code>http://</code> vagy <code>https://</code>
* hostnév
* Shibboleth SP modul elérhetősége (általában: <code>/Shibboleth.sso</code>)
* [[SessionInitiator]] "location"-je, pl. <code>/WAYF/HREF</code>
*: <small>Milyen jó is lenne, ha a default session initiator akkor is menne, ha nem adunk meg location-t. De sajnos jelenleg nem ez a helyzet.</small>
* <code>?target=</code> + az az URL, amelyre a Shibboleth session létrehozás után szeretnénk, hogy a felhasználónk kerüljön. Általában az éppen aktuális Request URI-t szoktuk használni.

Példa URL:
https://dev.aai.niif.hu/Shibboleth.sso/WAYF/NIIF-WAYF?target=https://dev.aai.niif.hu/drupal/shiblazy.php
=== Request headerek megbízhatósága, lazy session biztonság ===
A Shibboleth modul gondoskodik arról, hogy kiszűrje a '''HTTP_SHIB_''' kezdetű header elemeket, mivel azokat csak ez a modul állíthatja be. Bárki más is állítaná be, az visszaélést jelentene (header spoofing). A header spoofing elleni védelem lazy session esetén is működik, függetlenül attól, hogy létrejött-e a Shibboleth session. Ez azt jelenti, hogy nem lehet létező "sessiont hazudni", mivel a ''HTTP_SHIB_IDENTITY_PROVIDER''' header védett.

Természetesen a spoofing védelem csak akkor működik, ha
* a Shibbleth webszerver modul (mod_shib) be van töltve ÉS
* az adott Directoryra vagy Location-re be van konfigurálva, hogy hallgasson

A _SERVER tömb elemeit csak webszerver modulok tölthetik fel, ezért az ebből kivett értékek többé-kevésbé megbízhatóak header spoofing védelem nélkül is (megbízhatóságuk megegyezik a webszerver megbízhatóságával). Problémát okoz azonban, ha ezeket az elemeket összekeverjük a requestből kinyerhető értékekkel (pl. PHP-ban a <code>register_globals</code> használatával). Ez amúgy is kerülendő eljárás, lazy session-ök esetén pedig egyenesen öngyilkosság!

[[Kategória: Shibboleth]]
[[Kategória: Shibboleth általános]]

← Régebbi változat		A lap 2008. január 7., 17:38-kori változata
33. sor:		33. sor:

	[[Kategória: Shibboleth]]		[[Kategória: Shibboleth]]
−	~~[[Kategória: Shibboleth általános]]~~

@@ 11. sor: / 11. sor: @@
 == Lazy session az alkalmazás szemszögéből ==
 === Session érvényességének ellenőrzése ===
-Az alkalmazás a Shibboleth attribútumok vizsgálatával győződhet meg arról, hogy létezik-e Session. Célszerű olyan attribútumot választani, amely minden session létrehozáskor biztosan létrejön, ilyen például a '''_SERVER''' tömbből kinyerhető '''HTTP_SHIB_IDENTITY_PROVIDER''' header. Ha ez létezik, akkor biztosan van session.
+Az alkalmazás a Shibboleth attribútumok vizsgálatával győződhet meg arról, hogy létezik-e Session. Célszerű olyan attribútumot választani, amely minden session létrehozáskor biztosan létrejön, ilyen például a '''_SERVER''' tömbből kinyerhető '''Shib-Application-ID''' (Shibboleth 1.3 esetén: '''HTTP_SHIB_APPLICATION_ID''') header. Ha ez létezik, akkor biztosan van session.
 === Session létrehozás ===
 Mivel a webszerveren futó alkalmazás és a Shibboleth webszerver modul közvetlenül nem tud kommunikálni, ezért szükséges, hogy a felhasználót valahogyan egy megfelelő URL-re (a [[SessionInitiator]] URL-jére). Ez az URL általában így áll össze:

← Régebbi változat	A lap 2008. január 9., 10:22-kori változata
(Nincs különbség)

@@ 24. sor: / 24. sor: @@
   https://dev.aai.niif.hu/Shibboleth.sso/WAYF/NIIF-WAYF?target=https://dev.aai.niif.hu/drupal/shiblazy.php
 === Request headerek megbízhatósága, lazy session biztonság ===
-A Shibboleth modul gondoskodik arról, hogy kiszűrje a '''HTTP_SHIB_''' kezdetű header elemeket, mivel azokat csak ez a modul állíthatja be. Bárki más is állítaná be, az visszaélést jelentene (header spoofing). A header spoofing elleni védelem lazy session esetén is működik, függetlenül attól, hogy létrejött-e a Shibboleth session. Ez azt jelenti, hogy nem lehet létező "sessiont hazudni", mivel a ''HTTP_SHIB_IDENTITY_PROVIDER''' header védett.
+A Shibboleth modul gondoskodik arról, hogy kiszűrje a '''HTTP_SHIB_''' kezdetű header elemeket, mivel azokat csak ez a modul állíthatja be. Bárki más is állítaná be, az visszaélést jelentene (header spoofing). A header spoofing elleni védelem lazy session esetén is működik, függetlenül attól, hogy létrejött-e a Shibboleth session. Ez azt jelenti, hogy nem lehet létező "sessiont hazudni", mivel a '''HTTP_SHIB_IDENTITY_PROVIDER''' header védett.
 Természetesen a spoofing védelem csak akkor működik, ha