Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
Nächste Überarbeitung | Vorhergehende Überarbeitung Nächste ÜberarbeitungBeide Seiten der Revision | ||
de:shibslohttpd [2015/12/08 14:12] – angelegt Schreiterer, Frank | de:shibslohttpd [2015/12/08 15:38] – Schreiterer, Frank | ||
---|---|---|---|
Zeile 1: | Zeile 1: | ||
====== Kopplung der Anwendungs-Session an die Shibboleth-Session am Apache-Webserver ====== | ====== Kopplung der Anwendungs-Session an die Shibboleth-Session am Apache-Webserver ====== | ||
- | ===== Ausgangssituation ===== | + | Die hier beschriebene Lösung beschäftigt sich mit dem Problem, |
- | Viele Web-Anwendungen verwenden eine eigene Anwendungs-Session , die in der Regel in einem oder mehreren Cookies gespeichert werden, und authentifizieren gegen Shibboleth. Dabei ist die Anwendung selbst nicht in der Lage, die Session selbst auf Veränderungen zu prüfen, z.B. mit einem Remote-User zu assoziieren und so gegen Veränderungen zu schützen. | + | |
- | + | ||
- | Besitzt die Anwendung ein Session-Management, | + | |
- | Anmerkung: Man kann sich aber durchaus überlegen, einen Grundschutz zu implementieren, | + | |
- | + | ||
- | ===== Problem | + | |
- | Durch den Besitz einer (gültigen) Anwendungs-Session | + | |
- | + | ||
- | ===== Herausforderung zur Lösung ===== | + | |
- | Es muss eine Lösung gefunden werden, die es einem Anwender nicht ermöglicht, | + | |
- | 1. eine abgelaufene oder auch mutwillig veränderte Anwendungs-Session (wieder) zu verwenden, | + | |
- | 2. die Shibboleth-Session zu manipulieren | + | |
- | + | ||
- | Voraussetzung hierzu ist, dass | + | |
- | 3. der Zusammenhang zwischen Shibboleth-Session und Anwendungs-Session hergestellt wird, | + | |
- | + | ||
- | + | ||
+ | * [[de: |