Front-channel- ja back-channel-uloskirjautuminen

Front-Channel Logout on selaimeen perustuva toimintatapa. Kun käyttäjä kirjautuu ulos, IdP käyttää käyttäjän selainta viestiäkseen kunkin asiakassovelluksen kanssa.

Ajatelkaa sitä näin: IdP kertoo selaimelle: "Hei, käske myös nämä muut sovellukset kirjautumaan ulos!" Selain lähettää sitten pyyntöjä asiakkaiden uloskirjautumispäätepisteisiin.

Front-Channel Logout toimii yleensä seuraavasti:

• Käyttäjä aloittaa uloskirjautumisen (esimerkiksi napsauttaa "Kirjaudu ulos").
• IdP vastaanottaa uloskirjautumispyynnön.
• IdP ohjaa käyttäjän selaimen erityiselle IdP:n uloskirjautumissivulle.
• Sivu sisältää piilotettuja <iframe>-elementtejä, joista kukin osoittaa rekisteröidyn asiakkaan uloskirjautumis-URI:in.
• Selain lataa nämä iframe-kehykset, jolloin kukin asiakas tyhjentää paikallisen istuntonsa.

Front-Channel Logout on yksinkertainen, mutta siihen liittyy rajoituksia:

• Hyvät puolet:
• IdP:n on suhteellisen helppo toteuttaa se.
• Se toimii hyvin täysin selainpohjaisilla asiakkailla.
• Huonot puolet:
• Se on epäluotettavampi: selaimen asetukset, kuten kolmannen osapuolen evästeiden estäminen tai ponnahdusikkunoiden esto, voivat estää sen.
• Se edellyttää, että käyttäjän selain on aktiivinen.
• Se ei toimi selainpohjaisille asiakkaille, kuten mobiilisovelluksille tai taustapalveluille.

Back-Channel Logout käyttää erilaista ja vankempaa toimintatapaa. Käyttäjän selaimeen tukeutumisen sijaan Identity Provider (IdP) viestii suoraan kunkin asiakkaan taustapalvelimen kanssa.

Tämä on palvelinten välistä viestintää, joten se on luotettavampaa ja sopii useammille asiakastyypeille, erityisesti palvelinpuolen istuntoja käyttäville asiakkaille.

Back-Channel Logoutin tyypillinen tapahtumaketju on seuraava:

• Käyttäjä aloittaa uloskirjautumisen.
• IdP vastaanottaa uloskirjautumispyynnön ja mitätöi oman istuntonsa.
• IdP lähettää sitten HTTP POST -pyynnön kunkin rekisteröidyn asiakkaan back-channel logout URI:in.
• Tämä POST-pyyntö sisältää allekirjoitetun Logout Token -tunnuksen (JWT:n).
• Kunkin asiakkaan palvelin vahvistaa Logout Token -tunnuksen ja päättää käyttäjän paikallisen istunnon.

Back-Channel Logout on luotettavampi, mutta sen käyttöönotto vaatii enemmän valmistelua:

• Hyvät puolet:
• Erittäin luotettava: se ei riipu selaimen tilasta tai käyttäjän toimista.
• Se toimii kaikilla asiakastyypeillä (web, mobiili ja taustapalvelut).
• Se sopii erinomaisesti asiakkaille, jotka ylläpitävät käyttäjien istuntoja palvelimella.
• Huonot puolet:
• Asiakkaiden on tarjottava erillinen uloskirjautumispäätepiste.
• Sen turvallinen toteuttaminen on monimutkaisempaa (esimerkiksi Logout Token -tunnusten vahvistaminen).
• IdP:n ja asiakkaiden palvelinten välillä voi ilmetä verkko-ongelmia.

Kun valitsette front-channel- ja back-channel-uloskirjautumisen välillä, huomioikaa asiakastyypit ja luotettavuusvaatimukset:

• Yksinkertaisille, täysin selainpohjaisille asiakkaille, joissa satunnaiset uloskirjautumisen epäonnistumiset ovat hyväksyttäviä, Front-Channel voi riittää.
• Vankkoihin sovelluksiin, erityisesti palvelinpuolen istuntoja, mobiilisovelluksia tai API-rajapintoja käyttäviin, Back-Channel on yleensä suositeltavampi ja turvallisempi vaihtoehto.
• Monissa nykyaikaisissa järjestelmissä suositaan back-channel-menetelmää sen luotettavuuden vuoksi.

Tässä oppitunnissa käsittelimme OIDC- ja OAuth2-järjestelmien yhden uloskirjautumisen tärkeää aihetta. Tutustuimme kahteen päästrategiaan:

• Front-Channel Logout: Selainpohjainen ja yksinkertaisempi, mutta epäluotettavampi.
• Back-Channel Logout: Palvelinten välinen, vankempi ja ihanteellinen erilaisille asiakastyypeille sekä palvelinpuolen istunnoille.

Näiden virtojen ymmärtäminen auttaa suunnittelemaan turvallisia ja käyttäjäystävällisiä todennusjärjestelmiä, joissa istunnot päätetään asianmukaisesti kaikissa yhdistetyissä palveluissa.