Inhaltsverzeichnis. Open-Xchange Authentication & Sessionhandling

Transkript

1 Open-Xchange Authentication & Sessionhandling Version Date Author Changes Stephan Martin Initiale Version Marcus Klein Details Authentication via JSON Stephan Martin Beispiele eingefügt Marcus Klein URL der GUI und JSESSIONID hinzugefügt Inhaltsverzeichnis 1.Einleitung Systemaufbau/Implementierung Überblick Zugriff über Web Browser mit Benutzereingabe Zugriff über Web Browser mit vorheriger Authentisierung und Sessionübergabe durch externes System Details Authentisierung via JSON Schnittstelle Beispiel Authentisierung: Übergabe der Sessiondaten via URL Beispiel Login mit Random Weiterleitung

2 Copyright 2006, OPEN-XCHANGE GmbH - 2 -

3 1. Einleitung Das vorliegende Papier beschreibt die Authentisierung und Sessionverwaltung von Open-Xchange. Es wird beschrieben, welche Mechanismen zur Verfügung stehen und wie Sessions sicher von externen Applikationen an den Open- Xchange Server (Single Sign On, SSO) übergeben werden können

4 2. Systemaufbau/Implementierung 2.1. Überblick Das Webfrontend des Open-Xchange Servers ist in AJAX (Asynchronous JavaScript and XML) implementiert. Somit läuft das komplette User Interface (GUI) im Browser des Benutzers. Es werden vom Server keine HTML Seiten generiert und dann ausgeliefert wie in einer klassischen Webanwendung. Das gesamte Benutzerfrontend wird im Browser gerendert und angezeigt, die Daten werden via JavaScript Object Notation (JSON) basierend auf HTTP/S mit dem Server ausgetauscht. Das hat zur Folge, dass es nicht möglich ist, die jeweiligen Aktionen des Frontends via HTTP/S Request zu simulieren indem entsprechend formatierte GET/POST Aufrufe simuliert werden. Hier findet eine weitere Abstraktion statt, welche ausschliesslich Daten zwischen Server und GUI austauscht. Der Open-Xchange Server enthält einen Session Daemon (sessiond), welcher die aktuellen Daten eines angemeldeten Benutzers hält. Ist ein Benutzer erfolgreich authentisiert, so reichen die Informationen, welche in der Session gespeichert sind für den Zugriff auf den Open-Xchange Server. Um auf externe Systeme (IMAP/SMTP) zuzugreifen muss der Open-Xchange Server die Credentials des aktuellen Benutzers für dieses System kennen. Das bedeutet, dass das Session Objekt im sessiond auch das entsprechende Passwort für diesen Zugriff im Klartext halten muss, daher ist eine Authentisierung ausschliesslich über SessionIDs nicht ausreichend, es muss immer eine Authentisierung mit Benutzername und Passwort stattfinden. Wichtige Grundlagen des gesamten Mechanismus sind folgende: Copyright 2006, OPEN-XCHANGE GmbH - 4 -

5 Eine Verifikation der Session darf nicht nur durch eine einzelne SessionID erfolgen, sondern muss mindestens zwei verschiedene Daten vergleichen Der gesamte Mechanismus ist nur solange sicher, wie er über eine verschlüsselte Verbindung genutzt wird. Es darf nicht möglich sein z.b. durch Raten einer SessionID zu einer gültigen Session zu gelangen, dies ist insbesondere wichtig bei der Übergabe durch ein externes System 2.2. Zugriff über Web Browser mit Benutzereingabe Wenn ein Benutzer sich direkt durch Eingabe seiner Benutzerdaten am System anmeldet werden folgende Schritte durchgeführt um den Benutzer zu authentisieren, bzw. um die gültige Session nach erfolgter Authentisierung zu verifizieren : 1. Browser sendet initialen Request an Open-Xchange Server bisher noch nicht authentisiert kein Cookie keine SessionID 2. Open-Xchange Server sendet AJAX Applikation an Browser diese wird geladen, keine Daten werden ausgetauscht 3. Benutzer gibt Username und Passwort in das Frontend ein 4. Diese Daten werden via JSON an den Server gesendet (SSL) 5. Der Server authentisiert und liefert folgende Daten via JSON an den Browser zurück (die Daten werden alle im Sessionobjekt im sessiond gespeichert) SessionID im JSON Objekt Random Token für initialen Login via JSON Objekt (benötigt für SSO Login) Cookie mit Secret wird in Browser gesetzt 6. AJAX Frontend speichert die SessionID im Speicher AJAX Frontend ignoriert Random Token 7. AJAX sendet ersten Daten Request via JSON an den Open-Xchange Server und liefert dabei folgende Daten: SessionID im JSON Objekt 8. Open-Xchange Server erhält diesen Request und fordert vom Browser Cookie mit Secret - 5 -

6 9. Open-Xchange Server vergleicht: SessionID auf Gültigkeit im sessiond Secret aus Cookie auf Gültigkeit mit sessiond 10. Request ist korrekt authentisiert und wird beantwortet 11. Random Token wird nach Timeout aus sessiond verworfen 12. Wiederhole bis Ende der Session 2.3. Zugriff über Web Browser mit vorheriger Authentisierung und Sessionübergabe durch externes System Ziel ist es, durch ein externes System am Open-Xchange System zu authentisieren und die dadurch gewonnenen Sessiondaten sicher an einen Browser zu übergeben. Das externe System muss hierzu die Benutzerdaten (Benutzername, Passwort) im Klartext kennen. Grundlage des Verfahrens ist die Initialisierung der Session im Open-Xchange Server durch die JSON Schnittstelle und die Übergabe der hierbei erhaltenen Daten an einen Browser. Dieser initialisiert die Session schlussendlich durch ein zusätzliches Random Token, welches nur für einen einmaligen Zugriff gültig ist. 1. Externes Tool sendet initialen JSON Request direkt an Open-Xchange Server bisher noch nicht authentisiert kein Cookie keine SessionID 2. Der Open-Xchange Server authentisiert und liefert folgende Daten via JSON an externes Tool zurück (die Daten werden alle im Session Objekt im sessiond gespeichert) SessionID im JSON Objekt Random Token für initialen Login via JSON Objekt (benötigt für SSO Login) Cookie mit Secret wird nicht gesetzt 3. Externes Tool startet Browser mit spezieller URL, welche folgende Daten enthält: Random Token für initialen Login 4. Open-Xchange Server vergleicht: Copyright 2006, OPEN-XCHANGE GmbH - 6 -

7 Random Token auf Gültigkeit im sessiond 5. Open-Xchange Server sendet an den Browser: Cookie mit Secret und SessionID 6. Open-Xchange entfernt Random Token aus dem sessiond. Ab hier folgt das Vorgehen dem einer normal authentisierten Session wie oben. Die Verifikation der Session findet dann anhand von SessionID und Secret im Cookie statt

8 3. Details Im Folgenden werden die notwendigen Requests und Datentypen für die Anbindung eines externen Systems im Detail definiert Authentisierung via JSON Schnittstelle Die Authentisierung über die JSON Schnittstelle entspricht einem einfachen HTTP/S Request: GET/POST Dabei werden die beiden folgenden Parameter übergeben: action hier wird immer der Wert login übergeben name der Benutzername password das Passwort Dieser Request kann folgende Rückgabewerte liefern: 200 OK Authentisierung erfolgreich Im Body der Antwort befindet sich ein JavaScript-Objekt im JSON Format. Dieses Objekt enthält die Attribute session und random. Das Attribut session enthält die gültige SessionID, während das Attribut random einen Zufallswert enthält, mit dem nur ein Request durchgeführt werden kann. 200 OK Authentisierung nicht erfolgreich Im Body der Antwort befindet sich wiederum ein JavaScript-Objekt im JSON Format. Diesmal enthält das Objekt aber lediglich das Attribut error. Das Attribut error enthält Informationen, warum die Authentisierung fehlgeschlagen ist. Zur Zeit wird dort Invalid credentials oder User not found zurückgegeben. Es sind aber auch noch Werte wie Your account is disabled denkbar Beispiel Authentisierung: Connected to localhost. Escape character is '^]'. GET /ajax/login?action=login&name=<user>&password=<password> HTTP/1.0 HTTP/ OK Date: Mon, 04 Sep :53:35 GMT Server: Apache Copyright 2006, OPEN-XCHANGE GmbH - 8 -

9 Pragma: no-cache Set-Cookie: JSESSIONID= OX1; path=/ Set-Cookie: open-xchange-session = ; path=/ Cache-Control: post-check=0,pre-check=0 Expires: Sat,6 May :00:00 GMT Connection: close Content-Type: text/javascript; charset=utf-8 {"lang":"en","session":" ","random":" ","id":32} Connection closed by foreign host Übergabe der Sessiondaten via URL Wurden die beiden Daten SessionID und Random Token wie oben von einer externen Applikation erfragt, so wird der Browser mit folgender URL aufgerufen um die Session im Browser einmalig mit dem Random Token zu initialisieren. Dabei muss die JSESSIONID mit übergeben werden, wenn es sich um einen Cluster mit OX-Servern handelt, wobei man die JSESSIONID aus dem gleichnamigen Cookie verwenden muss: ;jsessionid=<sessiond.jvmroute>?action=redirect &random=<random-token> Beispiel Login mit Random Connected to localhost. Escape character is '^]'. GET /ajax/login;jsessionid= ox1?action=redirect&random= HTTP/1.0 HTTP/ Found Date: Mon, 04 Sep :54:08 GMT Server: Apache Location: /index.html#id= Set-Cookie: JSESSIONID= OX1; path=/ - 9 -

10 Set-Cookie: open-xchange-session = ; Path=/ Content-Length: 0 Connection: close Content-Type: text/javascript; charset=utf-8 Connection closed by foreign host Weiterleitung Beim Initialisieren den Browsers mit dem Random Token wird der Cookie mit dem Secret gesetzt. Des Weiteren wird der Browser weitergeleitet, um die AJAX GUI zu laden. Die URL zum Laden der GUI sieht folgendermaßen aus: Die AJAX GUI muss unter obiger URL zu finden sein. Copyright 2006, OPEN-XCHANGE GmbH