Økthåndtering

For å hjelpe RP-er med å følge med på brukerens økt hos OP-en introduserer OIDC parameteren session_state.

Denne verdien, sammen med iss-URL-en (issuer), gjør det mulig for RP-er å overvåke endringer i brukerens økt hos OpenID Provider.

Front-channel-utlogging er én teknikk for å oppnå Single Logout (SLO).

Den bruker brukerens nettleser til å sende utloggingsforespørsler til alle aktive Relying Parties (RP-er).

Når en bruker logger ut fra OP-en, omdirigerer OP-en brukerens nettleser til et spesielt utloggingsendepunkt.

Dette endepunktet bruker deretter skjulte iframes eller bildeforspørsler til å laste inn bestemte «utloggings-URL-er» fra hver registrerte RP, slik at de avslutter den lokale økten.

Front-channel-utlogging er enkel å implementere for RP-er, siden den ikke krever komplisert logikk på serversiden.

• Fordeler: Enkelt oppsett og utnytter nettleseren.
• Ulemper: Kan være upålitelig. Nettleserbegrensninger, for eksempel blokkering av tredjepartscookies, eller nettverksproblemer kan hindre RP-er i å motta utloggingssignalet.

Back-channel-utlogging gir en mer robust og pålitelig måte å oppnå Single Logout på.

I stedet for å være avhengig av nettleseren bruker den direkte kommunikasjon mellom serveren til OpenID Provider og Relying Parties.

Når en bruker logger ut, sender OP-en et spesielt Logout Token direkte til RP-ens forhåndsregistrerte back-channel logout URI.

Når RP-en mottar dette tokenet, validerer den det og avslutter deretter brukerens lokale økt.

Et Logout Token er et JSON Web Token (JWT) utstedt av OP-en.

Det inneholder claimer som iss (issuer), sub (subject), aud (audience) og et spesielt events-claim som angir en back-channel-utloggingshendelse. Det inneholder også en sid (session ID) for å identifisere den bestemte økten som skal avsluttes.

Valget mellom front-channel og back-channel avhenger av behovene:

• Front-channel: Enklere, avhengig av nettleseren og mindre pålitelig for kritiske applikasjoner.
• Back-channel: Mer robust, server-til-server, krever et eget RP-endepunkt og egner seg bedre i sikkerhetssensitive sammenhenger.

Godt jobbet! Du har utforsket hvordan OpenID Connect håndterer øktbehandling.

Vi har gått gjennom betydningen av øktsynkronisering, den nettleserbaserte front-channel-utloggingen og den mer robuste server-til-server-baserte back-channel-utloggingen ved hjelp av Logout Tokens.

Det er viktig å forstå disse mekanismene for å kunne bygge sikre og brukervennlige OIDC-applikasjoner.