Tek oturum kapatma nasıl çalışır
Tek oturum açma bir oturum ağı yaratır: kimlik sağlayıcıda bir oturum ve kullanıcının açtığı her uygulamada birer yerel oturum. Tek bir uygulamadan çıkış yapmak normalde yalnızca o yerel oturumu bitirir; diğerleri çalışmaya devam eder. Tek oturum kapatma bu sökümü koordine eder; tek bir çıkış işlemi IdP oturumunu sonlandırır ve katılan tüm uygulamalara kendi oturumlarını bitirmeleri için haber verir.
Mekanizma protokole göre değişir. SAML, tarayıcı üzerinden veya doğrudan sunucular arasında iletilen çıkış istekleri ve yanıtları tanımlar. OpenID Connect birden fazla yöntem sunar: tarayıcının her istemci için bir çıkış adresi yüklediği ön kanal çıkışı, IdP'nin sunucudan sunucuya imzalı çıkış jetonları gönderdiği arka kanal çıkışı ve bir uygulamanın IdP'den merkezi oturumu bitirmesini istediği RP tarafından başlatılan çıkış. Arka kanal çıkışı tarayıcı durumuna bağlı olmadığı için en güvenilir yöntemdir.
Tek oturum kapatma neden önemli
Kullanıcının çıkış yaptığını sandığı halde açık kalan oturumlar; ortak ve halka açık bilgisayarlarda, kiosk senaryolarında ve işten çıkış süreçlerinde gerçek bir risktir. Saldırgan veya klavyeye geçen bir sonraki kişi, oturumu ayakta kalan her uygulamaya doğrulanmış erişimi devralır. SLO, kullanıcının zihnindeki modeli, yani çıkış yapınca her yerden çıkılmış olacağı varsayımını gerçekten doğru hale getirir.
Olay müdahalesi için de önemlidir. Bir hesabın ele geçirildiğinden şüphelenildiğinde güvenlik ekiplerinin yalnızca merkezi oturumu değil, tüm etkin oturumları anında iptal edebilecek bir yola ihtiyacı vardır. Koordineli çıkış, kısa oturum ömürleriyle birleştiğinde çalınan bir oturumun işe yarama süresini sınırlar.
Uygulamada tek oturum kapatma
SLO'yu doğru kurmak SSO'dan zordur; çünkü her uygulamanın çıkış alışverişindeki kendi tarafını uygulamasına bağlıdır. Ön kanal yaklaşımları, tarayıcılar üçüncü taraf çerezleri engellediğinde veya akışın ortasında sekme kapatıldığında bozulur; bu yüzden destekleyen uygulamalarda arka kanal çıkışını tercih edin ve ön kanalı elden gelenin iyisi olarak görün.
Pragmatik bir mimari birkaç katmanı birleştirir: destekleyen uygulamalar için koordineli çıkış, sahipsiz oturumların hızla dolması için kısa erişim jetonu ömürleri ve yenileme jetonlarıyla IdP oturumlarını merkezden iptal eden yönetimsel bir acil kapatma düğmesi. Monosign, merkezi oturum politikalarına sahip bir SAML ve OIDC kimlik sağlayıcısı olarak yöneticilere kullanıcının bağlı uygulamalardaki oturumlarını tek noktadan sonlandırma imkânı verir.