<div dir="ltr">What are you using for a session store? <div><br></div><div>In my case, we store our session data in SQL. Invalidating a session is as simple as deleting the row from the SQL table. When the user with that session comes back, Shibboleth can't find the record and forces the user to re-authenticate. </div><div><br></div><div>-Matt</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Wed, Jan 12, 2022 at 8:38 PM IAM David Bantz <<a href="mailto:dabantz@alaska.edu">dabantz@alaska.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div><span style="font-size:14px">When we discover an SSO session created by a bad actor, we can block further use of that user’s SSO session(s), setting an attribute in the attribute store that triggers an interrupt for any attempted use of the SSO session (analogous to putting a hold on use of a library or credit card). In principle we could wait a few hours for any existing SSO sessions to expire, but users of course want to get back to normal operation by resetting their password and removing that attribute trigger. Seems it should be passible to remove any existing unexpired SSO sessions from the server-side store, eliminating the ability of said bad actor to continue to use their ill-gotten SSO session(s) while allowing the legitimate account holder to establish new SSO sessions with their new credentials. How might I go about providing that ability to security admins?</span><div><span style="font-size:14px"><br></span></div><div dir="ltr"><span style="font-size:14px">David St. Pierre Bantz</span></div><div dir="ltr"><span style="font-size:14px">U Alaska IAM</span></div></div>
-- <br>
For Consortium Member technical support, see <a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>