시나리오:
사용자 1이 브라우저를 시작하고 SSO를 통해 포럼에 접속한 후, 잠시 작업을 마치고 브라우저를 닫습니다.
사용자 2가 같은 컴퓨터에서 브라우저를 시작하고 SSO를 통해 다시 포럼에 로그인합니다. 이 과정에서는 사용자 2의 자격 증명을 사용한 전체 로그인 절차가 수행되지만, 포럼에 진입하면 사용자 1로 로그인되어 있는 상태가 됩니다.
Discourse는 세션 타임아웃을 최소 1시간으로 설정할 수 있도록 허용합니다. 이는 사용자가 1시간 이내에 해당 PC로 돌아와 단순히 로그인만 하면 쿠키를 통해 이전 사용자의 신원을 얻을 수 있음을 의미합니다.
2016년에 브라우저가 닫힐 때 쿠키가 만료되도록 하는 수정이 있었으나, 이후 되돌려졌습니다.
브라우저가 비공개 모드로 설정되어 있지 않은 경우, 여러 사람이 같은 워크스테이션을 사용하는 환경에서 이 소프트웨어는 매우 보안이 취약해집니다.
이 문제에 대한 수정 방안이 있을까요?
감사합니다
Peter
Falco
(Falco)
2
같은 질문, 같은 답변입니다:
위 커밋에서 되돌려진 코드를 확인한 후, 필요에 맞게 플러그인으로 이식하여 사용할 수 있습니다.
또한 SSO 시스템에 로그아웃 연동을 구현하여, 사용자가 로그아웃할 때 해당 사용자의 모든 기존 세션을 종료하도록 Discourse에 요청하도록 할 수도 있습니다.
그리고 아니요, 이것은 보안 결함으로 간주되지 않습니다.
이러한 상황에서 상당한 가치가 있던 코드가 되돌려졌다는 점은 유감입니다.
세션을 종료하는 데 필요한 Discourse 호출에 대한 지침을 제공해 주시겠습니까?
감사합니다, Rafael