Процесс SSO - приемлемое решение?
Я должен реализовать процесс Единой точки входа для сайта. Я обращусь к Сайту как сайт со Знаком на экране и сайт B как сайт, которому нужно к Автоматическому знаку на. Эти два сайта находятся на различных доменах, и я не имею никакого контроля над сайтом A. Но я должен предложить идеи для процесса.
После некоторого чтения у меня есть это предложение. Расположите передачи билет в строке запроса на сайт b. Что-то как SiteB.aspx? Билет = {гуид}. Этот билет должен быть одним временем допустимое значение, которым будет управлять Сайт A. Мой сайт (Сайт B) будет пасовать назад Билет на сайт в форме вызова веб-сервиса. Ответ от этого вызова, если билет действителен, будет содержать идентификатор учетной записи, в котором я могу использовать для автоматического журнала.
Это кажется приемлемым решением? Сайт B будет находиться под HTTPS. Был бы, передавая Билет в строке запроса быть безопасным, или Билет будет лучше всего передан как дополнительный заголовок? Билет должен был бы все еще быть зашифрован если под https?
1 ответ
Нет, это не кажется мне приемлемым решением по нескольким причинам:
- Строка запроса не зашифрована, даже при использовании HTTPS.
- Кто-то просматривает плечо пользователя может захватить сеанс этого пользователя
- Вы не указали максимальное время жизни билета, что важно, если билет будет скомпрометирован (все билеты Kerberos используют эту функцию)
- Вы не установили, как Site B доверяет сайту A. Похоже, кто-то может встать посередине и, возможно, обмануть сайт B, думая, что это сайт A, а сайт B аутентифицирует его.
Вы можете заставить оба сайта использовать один и тот же ключ , чтобы они уважали файл cookie аутентификации форм друг друга.