Verständnisfrage zur Reihenfolge beim Logout

[Martin Lunze]

Hallo alle zusammen,

ich habe da ein paar Fragen zum Thema Logout.
Speziell geht es mir hier darum besser zu verstehen, was im Hintergrund
passiert.

Also, ich habe zum Beispiel 2 Service Provider (SP), die beide am selben
Identity Provider (IdP) angeschlossen sind.
Bei beiden SP gibt es einen Logout-Button, der mit Hilfe folgender URL
einen Logout-Vorgang auf Seiten des SP initiiert.

/Shibboleth.sso/Logout

Nun passiert bei SP 1 folgendes:
Der Nutzer wird nach dem Drücken des Logout-Button an den IdP
weitergeleitet, wo dessen Logout.jsp angezeigt wird.
Ich habe die Logout-Seite des IdP so angepasst, dass dem Nutzer alle
Seiten angezeigt werden, bei denen er sich während der Session
angemeldet hatte.

Der Nutzer ist an dieser Stelle sowohl beim SP, als auch am IdP
ausgeloggt. Habe ich geprüft.

Bei SP 2 passiert hingegen folgendes:
Der Nutzer bekommt nach dem Drücken des Logout-Button die Logout-Seite
vom SP angezeigt.

/Shibboleth.sso/SLO/Redirect?SAMLResponse=...

Auch an dieser Stelle ist der Nutzer beim SP als auch beim IdP
abgemeldet. Habe ich ebenfalls geprüft.

Bei beiden SP existieren identische Logout-URL's in den Metadaten.

Ich habe mir jetzt mal Firebug installiert um zu schauen, an welcher
Stelle der Nutzer an welche URL vom IdP bzw. SP weitergeleitet wird.
Da ich mich nicht allzu sehr damit auskenne sind mir auch nicht allzu
viele Erkenntnisse gekommen.

In beiden Fällen leitet der SP den Nutzer an die Logout-URL des IdP
weiter. Logisch, da sonst die Session auf IdP Seite ja nicht beendet
werden würde.

Jedoch leitet nur in einem Fall der IdP den Nutzer nach dem Logout
wieder an den SP zurück.
Wenn ich es richtig verstanden habe, dann ist dies ein SAMLResponse auf
den SAMLRequest, damit der SP weiß, ob der Logout am IdP wirklich
geklappt hat.

Nun würde mich interessieren, an welcher Stelle man dieses Verhalten
beeinflussen kann.
Hängt das mit der Shibboleth2.xml vom SP ab oder dessen Metadaten?

Vielleicht kann jemand erklären was es noch für Fälle gibt?
Mich würde es auch interessieren, wie Ihr vorgeht?

Man ist ja in jedem Fall nur am IdP und am SP (bei dem man den
Logout-Vorgang initiiert hat) ausgeloggt und nicht an allen anderen SP.
Deshalb würde ich es gern bevorzugen, wenn immer die Logout-Seite vom
IdP als letztes angezeigt wird, damit der Nutzer noch einen Überblickt
bekommt, wo er noch eingeloggt sein könnte.

Ich würde mich sehr freuen, wenn wir über die verschiedenen Vorgänge und
Redirects sprechen könnten.

-- 
MfG
Martin Lunze

Technische Universität Dresden
Zentrum für Informationsdienste und Hochleistungsrechnen
Trefftz-Bau, HRSK 151
Zellescher Weg 12-14
01062 Dresden

+49 351 463-35881
martin.lunze at tu-dresden.de
-------------- next part --------------
A non-text attachment was scrubbed...
Name: smime.p7s
Type: application/x-pkcs7-signature
Size: 6160 bytes
Desc: not available
Url : http://shibboleth.net/pipermail/users/attachments/20130729/542b8759/attachment.bin