Utloggning via front channel och back channel

Front-Channel Logout är en webbläsarbaserad metod. När en användare loggar ut använder IdP:n användarens webbläsare för att kommunicera med varje klientapplikation.

Se det som att IdP:n säger till webbläsaren: ”Hej, be de här andra apparna att logga ut också!” Webbläsaren skickar sedan förfrågningar till klienternas utloggnings-endpoints.

Så här fungerar Front-Channel Logout vanligtvis:

• Användaren påbörjar utloggningen (till exempel genom att klicka på ”Logga ut”).
• IdP:n tar emot utloggningsbegäran.
• IdP:n omdirigerar användarens webbläsare till en särskild utloggningssida hos IdP:n.
• Sidan innehåller dolda <iframe>-element som vart och ett pekar på en registrerad klients utloggnings-URI.
• Webbläsaren läser in dessa iframes, vilket får varje klient att rensa sin lokala session.

Front-Channel Logout är enkelt men har vissa begränsningar:

• Fördelar:
• Relativt enkelt för IdP:n att implementera.
• Fungerar bra för klienter som enbart är webbläsarbaserade.
• Nackdelar:
• Mindre tillförlitligt: Kan blockeras av webbläsarinställningar (till exempel tredjepartscookies och popup-blockerare).
• Är beroende av att användarens webbläsare är aktiv.
• Fungerar inte för klienter som inte använder webbläsare (till exempel mobilappar och backendtjänster).

Back-Channel Logout använder en annan och mer robust metod. I stället för att förlita sig på användarens webbläsare kommunicerar Identity Provider (IdP) direkt med varje klients backendserver.

Detta är en server-till-server-interaktion, vilket gör metoden mer tillförlitlig och lämplig för fler typer av klienter, särskilt sådana med sessioner på serversidan.

Så här ser den typiska sekvensen för Back-Channel Logout ut:

• Användaren påbörjar utloggningen.
• IdP:n tar emot utloggningsbegäran och ogiltigförklarar sin egen session.
• IdP:n skickar sedan en HTTP POST-förfrågan till varje registrerad klients back-channel logout URI.
• Denna POST-förfrågan innehåller en signerad Logout Token (en JWT).
• Varje klients server validerar Logout Token och avslutar användarens lokala session.

Back-Channel Logout är mer tillförlitligt men kräver mer konfiguration:

• Fördelar:
• Mycket tillförlitligt: Är inte beroende av webbläsarens tillstånd eller användarinteraktion.
• Fungerar för alla klienttyper (webb, mobil och backendtjänster).
• Idealiskt för klienter som hanterar användarsessioner på serversidan.
• Nackdelar:
• Kräver att klienterna exponerar en särskild utloggnings-endpoint.
• Mer komplext att implementera säkert (till exempel genom att validera Logout Token).
• Risk för nätverksproblem mellan IdP:ns och klienternas servrar.

När ni väljer mellan front-channel- och back-channel-utloggning bör ni ta hänsyn till era klienttyper och krav på tillförlitlighet:

• För enkla, helt webbläsarbaserade klienter där enstaka misslyckade utloggningar kan accepteras kan Front-Channel vara tillräckligt.
• För robusta applikationer, särskilt sådana med sessioner på serversidan, mobilappar eller API:er, är Back-Channel vanligtvis det föredragna och säkrare alternativet.
• Många moderna system föredrar back-channel på grund av dess tillförlitlighet.

I den här lektionen har vi gått igenom det viktiga ämnet single logout i OIDC- och OAuth2-system. Vi har lärt oss om två huvudsakliga strategier:

• Front-Channel Logout: Webbläsarbaserat och enklare, men mindre tillförlitligt.
• Back-Channel Logout: Server-till-server, mer robust och idealiskt för olika klienttyper och sessioner på serversidan.

Genom att förstå dessa flöden blir det lättare att utforma säkra och användarvänliga autentiseringssystem där sessioner avslutas korrekt i alla anslutna tjänster.