Front-channel- kontra back-channel-utlogging

Front-Channel Logout er en nettleserbasert metode. Når en bruker logger ut, bruker IdP-en brukerens nettleser til å kommunisere med hver klientapplikasjon.

Se for deg at IdP-en sier til nettleseren: «Hei, be disse andre appene om å logge ut også!» Nettleseren sender deretter forespørsler til klientenes avloggingsendepunkter.

Slik fungerer Front-Channel Logout vanligvis:

• Brukeren starter avlogging (for eksempel ved å klikke på «Logg ut»).
• IdP-en mottar avloggingsforespørselen.
• IdP-en omdirigerer brukerens nettleser til en egen avloggingsside hos IdP-en.
• Denne siden inneholder skjulte <iframe>-elementer, der hvert element peker til en registrert avloggings-URI for en klient.
• Nettleseren laster inn disse iframe-ene, slik at hver klient tømmer den lokale økten sin.

Front-Channel Logout er enkelt, men har noen begrensninger:

• Fordeler:
• Relativt enkelt for IdP-en å implementere.
• Fungerer godt for klienter som bare bruker nettleseren.
• Ulemper:
• Mindre pålitelig: Kan blokkeres av nettleserinnstillinger (for eksempel tredjepartsinformasjonskapsler eller popup-blokkering).
• Avhenger av at brukerens nettleser er aktiv.
• Fungerer ikke for klienter som ikke bruker nettleser (for eksempel mobilapper og backend-tjenester).

Back-Channel Logout bruker en annen og mer robust metode. I stedet for å være avhengig av brukerens nettleser kommuniserer identitetsleverandøren (IdP) direkte med backend-serveren til hver klient.

Dette er en server-til-server-interaksjon, noe som gjør metoden mer pålitelig og egnet for et bredere utvalg klienttyper, særlig klienter med økter på serversiden.

Dette er den typiske sekvensen for Back-Channel Logout:

• Brukeren starter avlogging.
• IdP-en mottar avloggingsforespørselen og ugyldiggjør sin egen økt.
• IdP-en sender deretter en HTTP POST-forespørsel til hver registrerte klients back-channel logout URI.
• Denne POST-forespørselen inneholder et signert Logout Token (en JWT).
• Serveren til hver klient validerer Logout Token og avslutter brukerens lokale økt.

Back-Channel Logout er mer pålitelig, men krever mer oppsett:

• Fordeler:
• Svært pålitelig: Avhenger ikke av nettlesertilstand eller brukerinteraksjon.
• Fungerer for alle klienttyper (web, mobil og backend-tjenester).
• Ideelt for klienter som opprettholder brukerøkter på serversiden.
• Ulemper:
• Krever at klientene eksponerer et eget avloggingsendepunkt.
• Mer komplisert å implementere på en sikker måte (for eksempel validering av Logout Tokens).
• Mulighet for nettverksproblemer mellom IdP-en og klientserverne.

Når du velger mellom front-channel- og back-channel-avlogging, bør du ta hensyn til klienttypene og kravene til pålitelighet:

• For enkle klienter som bare bruker nettleseren, og der det er akseptabelt at avlogging av og til mislykkes, kan Front-Channel være tilstrekkelig.
• For robuste applikasjoner, særlig de med økter på serversiden, mobilapper eller API-er, er Back-Channel vanligvis det foretrukne og sikreste valget.
• Mange moderne systemer foretrekker back-channel på grunn av påliteligheten.

I denne leksjonen utforsket vi det viktige temaet single logout i OIDC- og OAuth2-systemer. Vi lærte om to hovedstrategier:

• Front-Channel Logout: Nettleserbasert, enklere, men mindre pålitelig.
• Back-Channel Logout: Server-til-server, mer robust og ideelt for ulike klienttyper og økter på serversiden.

Hvis du forstår disse flytene, blir det enklere å utforme sikre og brukervennlige autentiseringssystemer der økter avsluttes riktig på tvers av alle tilkoblede tjenester.