Programmierung eines sicheren Systemlogouts

[Girschdien]

Hallo,

ich möchte gern für eine Intranetanwendung (Perl, HTML, JS) einen sicheren
Logout programmieren. Das heißt, nach dem Logout soll es nicht möglich
sein, über den "Zurück"-Button des Browsers wieder ins System zu kommen.

Leider habe ich bislang in sämtlichen mir zur Verfügung stehenden Perl-Büchern
umsonst danach gesucht, kann mir jemand einen Tipp geben, wie es funktionieren
kann? Was muss ich beachten?

Vielen Dank, Girsch

[Cheatah]

Hi,

ich möchte gern für eine Intranetanwendung (Perl, HTML, JS) einen sicheren
Logout programmieren.

da stellt sich mir doch erst mal die Frage, wie der Login geschieht. Ist ein Logout überhaupt _vorgesehen_?

Das heißt, nach dem Logout soll es nicht möglich
sein, über den "Zurück"-Button des Browsers wieder ins System zu kommen.

Verbiete jedwedes Caching. Dummerweise interessiert sich der IE nicht dafür. Verbiete den IE.

Cheatah

[Christian Kruse]

Hoi,

Das heißt, nach dem Logout soll es nicht möglich
sein, über den "Zurück"-Button des Browsers wieder ins System zu
kommen.

Verbiete jedwedes Caching. Dummerweise interessiert sich der IE
nicht dafür. Verbiete den IE.

Gute Idee ;-) Alternativ koennte man auch die Session fuer ungueltig
erklaeren. So kann der User zwar den letzten Screen zurueck bekommen,
aber ausfuehren kann er mangels fehlender Autentifikation nichts mehr.
Bei besonders kritischen Daten schliesse das Fenster -- so machen es
z. B. auch viele Online-Banken.

Gruesse,
 CK

[Cheatah]

Hi,

Verbiete den IE.

Gute Idee ;-)

stimmt - genau das habe ich nämlich für bestimmte Dinge hier im Betrieb gemacht ;-)

Alternativ koennte man auch die Session fuer ungueltig
erklaeren.

Nicht "alternativ". Das ist in jedem Fall notwendig; sonst kann man auch bei nicht gecachten Seiten wieder zurück.

Bei besonders kritischen Daten schliesse das Fenster -- so machen es
z. B. auch viele Online-Banken.

Bei Authentication (via .htaccess o.ä.) schließe die Browserinstanz, mit all seinen Fenstern. Nur möglich durch User-Aktion.

Cheatah

[Christian Kruse]

Hoi,

Verbiete den IE.

Gute Idee ;-)

stimmt - genau das habe ich nämlich für bestimmte Dinge hier im
Betrieb gemacht ;-)

Ich als kleiner Azubi kann sowas nicht verbieten *growl*

Alternativ koennte man auch die Session fuer ungueltig
erklaeren.

Nicht "alternativ". Das ist in jedem Fall notwendig; sonst kann
man auch bei nicht gecachten Seiten wieder zurück.

Hast du den leicht ironischen Unterton nicht gehoert? ;-)

Bei Authentication (via .htaccess o.ä.) schließe die
Browserinstanz, mit all seinen Fenstern. Nur möglich durch
User-Aktion.

Richtig. Ausser im Verraeter-Browser ;-)

Gruesse,
 CK

[Cheatah]

Hi,

Verbiete den IE.

[...]

Ich als kleiner Azubi kann sowas nicht verbieten *growl*

Du musst dich zwingen, bevor es jemand anders tut. [dsf 2.7] *g*

Naja, wenn Du Dich vor jemandem aufstellst, der den IE verwendet und mit Deinen Produkten Probleme hat, und ihm ausführlich erklärst, dass das nur beim IE nicht funktioniert, weil Microsoft als einzige Firma, bla, Standards, blub, inkompatibel, Marktmonopol, blubber bla W3C und IETF, und zwar mit Betonung auf "ausführlich" - so schnell kannst Du gar nicht gucken, bis die Leute sich freiwillig lynx installieren ;-)

Nicht "alternativ". Das ist in jedem Fall notwendig; sonst kann
man auch bei nicht gecachten Seiten wieder zurück.
Hast du den leicht ironischen Unterton nicht gehoert? ;-)

*rausred* Ich wollte nur sicher gehen, dass es garantiert niemand falsch versteht. Deine unsichtbaren Smileys habe ich natürlich bemerkt :-)

Cheatah

[Christian Kruse]

Hoi,

Verbiete den IE.
[...]
Ich als kleiner Azubi kann sowas nicht verbieten *growl*

Du musst dich zwingen, bevor es jemand anders tut. [dsf 2.7] *g*

Naja, wenn Du Dich vor jemandem aufstellst, der den IE verwendet
und mit Deinen Produkten Probleme hat, und ihm ausführlich
erklärst, dass das nur beim IE nicht funktioniert, weil Microsoft
als einzige Firma, bla, Standards, blub, inkompatibel,
Marktmonopol, blubber bla W3C und IETF, und zwar mit Betonung auf
"ausführlich" - so schnell kannst Du gar nicht gucken, bis die
Leute sich freiwillig lynx installieren ;-)

Das hast das System nicht geblickt ;-)
Bei uns sitzen zwei Entscheidungs-Traeger. Die haben in einem Anfall
menschlicher Schwaeche mir erlaubt, den Mozilla zu installieren. Aber
ansonsten faehrt hier alles auf IE ab; unsere Applikationen laufen
*nur* mit dem IE oder mit dem IE im Notes-Fenster. Ich habe in den
letzten 6 Monaten mehr mit MS-Software zu tun gehabt als in den
letzten 10 Jahren insgesamt -- und ich habe sie hassen gelernt. Und
jegliche Argumentation wird abgewuergt mit 'Unsere Kunden haben den
IE, also benutzen wir den auch' -- auch wenn die Tatsachen so
aussehen, dass die letzte Firma *wegen* unseres Intranet-Tools
auf den IE umgestiegen sind.

Beide Chefs schimpfen zwar ganz gewaltig auf ihn, aber sie trauen
sich auch nicht, einen Schritt weg vom IE zu machen.

Man koennte saemtliche Funktionen dieser Applikation auch in anderen
Browsern realisieren, oft sogar einfacher -- bis auf eine, die
Interaktion ueber OLE, ein vollkommen ueberfluessiges Schnickschnack,
die eingefuehrt wurde, damit der User wieder ein paar Klicks weniger
machen muss.

Nunja, allgemein wird das Sicherheitskonzept hier sehr
vernachlaessigt: der monatliche erzwungene Passwortwechsel wurde
verboten, weils zu unbequem ist. Andererseits haben wir keinerlei
direkten Zugang zum Internet, aus 'Sicherheitsgruenden'. Alles
sehr schizophren. Und es ist, gerade als Azubi, aussichtslos, etwas
aendern zu wollen.

Nicht "alternativ". Das ist in jedem Fall notwendig; sonst
kann man auch bei nicht gecachten Seiten wieder zurück.
Hast du den leicht ironischen Unterton nicht gehoert? ;-)

*rausred* Ich wollte nur sicher gehen, dass es garantiert niemand
falsch versteht. Deine unsichtbaren Smileys habe ich natürlich
bemerkt :-)

Dann ist ja gut ;-) Ich hatte schon Zweifel, ob das wirklich du
bist ;-)

Gruesse,
 CK

[Cheatah]

Hi,

Das hast das System nicht geblickt ;-)

stimmt - ich habe es gekickt! ;-)

Bei uns sitzen zwei Entscheidungs-Traeger.

Werde Nummer drei. Gerne auch inoffiziell.

Die haben in einem Anfall
menschlicher Schwaeche mir erlaubt, den Mozilla zu installieren. Aber
ansonsten faehrt hier alles auf IE ab; unsere Applikationen laufen
*nur* mit dem IE

Zeige die Probleme auf. Wenn's sein muss, mit Absicht! ;-)))

oder mit dem IE im Notes-Fenster.

WAAAAAH!!!!7
Himmel, ich hoffe, die haben auf Deinem Gehaltszettel den Punkt "Schmerzensgeld" nicht vergessen. Du hast mein aufrichtiges Beileid.

Ich habe in den
letzten 6 Monaten mehr mit MS-Software zu tun gehabt als in den
letzten 10 Jahren insgesamt -- und ich habe sie hassen gelernt.

Erst jetzt? :-)

Und
jegliche Argumentation wird abgewuergt mit 'Unsere Kunden haben den
IE, also benutzen wir den auch'

Tja, dagegen kann man nun wirklich nichts mehr sagen. Außer vielleicht, dass in die Verträge unbedingt Klauseln aufgenommen werden müssen, die jegliche Verantwortung ablehnt für Schäden, welche "aufgrund von defekter Software des Kunden oder wegen für die seitens des Kunden benutzte defekte Software entwickelten Programmteile" entstanden sind.

Beide Chefs schimpfen zwar ganz gewaltig auf ihn, aber sie trauen
sich auch nicht, einen Schritt weg vom IE zu machen.

Für einem von ihnen mal etwas an dessen Rechner vor, nimm den IE, lass es nicht klappen, murmel was von "Scheiße, dann installier ich halt Netscape...", und tu's nebenbei.

Nunja, allgemein wird das Sicherheitskonzept hier sehr
vernachlaessigt: der monatliche erzwungene Passwortwechsel wurde
verboten, weils zu unbequem ist.

*lol*

Andererseits haben wir keinerlei
direkten Zugang zum Internet, aus 'Sicherheitsgruenden'.

Argh.

Alles
sehr schizophren. Und es ist, gerade als Azubi, aussichtslos, etwas
aendern zu wollen.

Kündige an, dass Du ein Seminar über "Netzwerktechnik" (o.ä.) halten möchtest, von dem alle Mitarbeiter profitieren können. Einfach nur ein ein- bis eineinhalbstündiger Vortrag, FYI. Sowas wird immer gerne angenommen.

*rausred* Ich wollte nur sicher gehen, dass es garantiert niemand
falsch versteht. Deine unsichtbaren Smileys habe ich natürlich
bemerkt :-)
Dann ist ja gut ;-) Ich hatte schon Zweifel, ob das wirklich du
bist ;-)

Hiermit bestätige ich, dass ich ich bin!

Cheatah :-)

[Christian Kruse]

Hoi,

Das hast das System nicht geblickt ;-)

stimmt - ich habe es gekickt! ;-)

Hehe ;-)

Bei uns sitzen zwei Entscheidungs-Traeger.

Werde Nummer drei. Gerne auch inoffiziell.

Du vergisst, in welcher Situation ich hier bin. Ich bin 'nur' der
Azubi.

Die haben in einem Anfall
menschlicher Schwaeche mir erlaubt, den Mozilla zu
installieren. Aber ansonsten faehrt hier alles auf IE ab;
unsere Applikationen laufen *nur* mit dem IE

Zeige die Probleme auf. Wenn's sein muss, mit Absicht! ;-)))

Hehe ;-) Das ist hier eh alles sehr waghalsig. Signierte ActiveX
laufen automatisch ab (Standard-Einstellung), ohne Nachfrage -- dass
man in ActiveX beliebige Win-API-Funktionen aufrufen kann, weisst
du? ;-)

oder mit dem IE im Notes-Fenster.

WAAAAAH!!!!7
Himmel, ich hoffe, die haben auf Deinem Gehaltszettel den Punkt
"Schmerzensgeld" nicht vergessen. Du hast mein aufrichtiges
Beileid.

Was glaubst du eigentlich, was wir primaer machen? ;-) *Nicht*
Webprogrammierung... ;-) Hast du schonmal was von 'Sozius' oder
'ITF' gehoert? ;-)

Ich habe in den
letzten 6 Monaten mehr mit MS-Software zu tun gehabt als in den
letzten 10 Jahren insgesamt -- und ich habe sie hassen gelernt.

Erst jetzt? :-)

Vorher habe ich damit nur das noetigste getan. Da war mir das relativ
egal, wie sch***e die Software ist.

Und
jegliche Argumentation wird abgewuergt mit 'Unsere Kunden
haben den IE, also benutzen wir den auch'

Tja, dagegen kann man nun wirklich nichts mehr sagen. Außer
vielleicht, dass in die Verträge unbedingt Klauseln aufgenommen
werden müssen, die jegliche Verantwortung ablehnt für Schäden,
welche "aufgrund von defekter Software des Kunden oder wegen für
die seitens des Kunden benutzte defekte Software entwickelten
Programmteile" entstanden sind.

Ja, muesste eigentlich wirklich. Vor allem bei den
Sicherheitseinstellungen, die unsere Software erfordert ;-))

Beide Chefs schimpfen zwar ganz gewaltig auf ihn, aber sie
trauen sich auch nicht, einen Schritt weg vom IE zu machen.

Für einem von ihnen mal etwas an dessen Rechner vor, nimm den IE,
lass es nicht klappen, murmel was von "Scheiße, dann installier
ich halt Netscape...", und tu's nebenbei.

Oha, das vergiss aber mal schnell *g*

Nunja, allgemein wird das Sicherheitskonzept hier sehr
vernachlaessigt: der monatliche erzwungene Passwortwechsel wurde
verboten, weils zu unbequem ist.

*lol*

Das ist eigentlich nicht besonders witzig. Als der Administrator und
ich versucht haben, das zu kippen, kam die Antwort 'wieso? Auf
unseren Rechnern haben wir doch gar keine wichtigen Daten, die
liegen auf dem Server' *argh* Versuch' mal, *dagegen* zu
argumentieren.

Alles
sehr schizophren. Und es ist, gerade als Azubi, aussichtslos,
etwas aendern zu wollen.

Kündige an, dass Du ein Seminar über "Netzwerktechnik" (o.ä.)
halten möchtest, von dem alle Mitarbeiter profitieren können.
Einfach nur ein ein- bis eineinhalbstündiger Vortrag, FYI. Sowas
wird immer gerne angenommen.

Das ist eine gute Idee, aehnliches bereite ich gerade vor. Aber das
Problem ist, das meiste ist ja *bekannt*. Es wird nur in Kauf
genommen, aus Bequemlichkeit.

Hiermit bestätige ich, dass ich ich bin!

Ok, dann bin ich ja beruhigt ;-)

Gruesse,
 CK

[Sven Rautenberg]

Moin!

Das ist eigentlich nicht besonders witzig. Als der Administrator und
ich versucht haben, das zu kippen, kam die Antwort 'wieso? Auf
unseren Rechnern haben wir doch gar keine wichtigen Daten, die
liegen auf dem Server' *argh* Versuch' mal, *dagegen* zu
argumentieren.

Kleine Anekdote, die Wau Holland mal bei einem Vortrag erzählte:

1: Wie sieht es eigentlich bei Ihnen mit Paßwörtern aus?
2: Also ich hab den Namen und das Alter meiner Tochter genommen.
1: Dann wird's ja wenigstens jedes Jahr gewechselt. <eg>

- Sven Rautenberg

[Calocybe]

Hi!

Bei Authentication (via .htaccess o.ä.) schließe die Browserinstanz, mit all seinen Fenstern. Nur möglich durch User-Aktion.

Nun, die Leute von http://mindit.netmind.com/ haben das Logout hingekriegt. Ich vermute, sie schicken bei Anforderung der Logout-Seite einfach eine 401-Response, obwohl der Browser wieder die korrekten Zugangsdaten mitsendet, woraufhin der beschliesst, sich diese nicht laenger zu merken. Das Funktionieren dieser Methode koennte natuerlich ziemlich browserabhaengig sein.

So long

[Girschdien]

Hi,

ich möchte gern für eine Intranetanwendung (Perl, HTML, JS) einen sicheren
Logout programmieren.

da stellt sich mir doch erst mal die Frage, wie der Login geschieht. Ist ein Logout überhaupt _vorgesehen_?

Nunja...ich habe die Software nicht programmiert, ich muss sie nun nur warten :-(
Es gibt einen Login mit PW, der den Anwender eindeutig identifiziert. Mit der Anwendung werden gewisse Dinge beauftragt, die über ein HTML-Formular eingegebenen Daten später in eine Datenbank übernommen und von da aus weiterverarbeitet.
Das heißt, es ist zumindest sinnvoll, sich ausoggen zu können, damit niemand unter falschem Namen die Anwendung benutzen kann.
Bislang ist die einzige Sicherheit, den Browser zu beenden.

Das heißt, nach dem Logout soll es nicht möglich
sein, über den "Zurück"-Button des Browsers wieder ins System zu kommen.

Verbiete jedwedes Caching. Dummerweise interessiert sich der IE nicht dafür. Verbiete den IE.

Der IE ist in unserer Firma verboten ,-)

Cheatah

Girschdien