Single Sign On: Model Token Akses Global

FAQ

Q:
Berapa lama implementasi?

A:
Jika SSO sudah tersedia, maka waktu implementasi bisa hanya setengah hari karena hanya tinggal:

1. menghapus username dan password di laman login sistem yang sebelumnya
2. memasang skrip untuk memeriksa SSO dan mengarahkan trafik ke SSO ke dalam Interceptor
3. hak akses masih dapat menggunakan yang ada di sistem yang sebelumnya

Waktu jadi lebih lama jika ada perubahan peraturan bahwa hak akses menggunakan hak akses dari SSO.

Q:
Daftar username sama, tapi database beda?

A:
Tidak masalah, ambil username dari SSO saja, toh username-nya sama

1. tinggal cocokkan username dengan hak akses di basisdata lokal
2. inventarisir username yang belum terdaftar di SSO, kemudian buat mekanisme untuk mendaftarkan ke SSO

Q:
Bagaimana sinkronisasi time-out di aplikasi A dan B?

A:
Time-out dapat menggunakan time-out yang sebelumnya diterapkan, atau dapat ‘menyuntikkan’ informasi timeout dari SSO.

Q:
Aplikasi A menggunakan Java, aplikasi B menggunakan PHP, aplikasi C menggunakan JsNode, bagaimana mendapatkan SESSION aplikasi yang lain ketika proses otentikasi SSO?

Tenang, sesi menggunakan SESSION yang ada di SSO dikombinasikan dengan COOKIE (secure, http only), bukan SESSION di masing-masing aplikasi, sehingga cukup mengirimkan trafik ke SSO.

Q:
Saya sudah klik ‘logout‘ di Aplikasi A, tapi kok pas saya buka Aplikasi B saya masih otomatis masuk?

Oh, untuk logout juga dibuat sama seperti login, sehingga perlu mengirimkan request logout ke SSO, tetapi jangan lupa mengakhiri SESSION aplikasi A.

Q:
Kok saya lihat timeout-nya hanya sebentar ya, 1-5 menit gitu?

Timeout dalam kasus SSO itu ada dua hal:

1. Masa Berlaku Token, nah ini yang hanya aktif 5 menit untuk kode penukaran itu, demi keamanan. Ini proses pembuatan token yang terjadi server to server setelah otentikasi.
2. Masa Sesi Global di browser (misalnya aktif selama 24 jam), ini adalah timeout untuk sesi di server SSO. Jadi, selama sesi global di browser masih aktif, user tidak perlu mengetik password lagi saat berpindah aplikasi.

Raksasa seperti Google, kebijakan session timeout akun global mereka (Google Workspace/Google Account) itu punya pendekatan yang sangat dinamis dan bergeser seiring berkembangnya lanskap keamanan siber.

Sejak lama, hampir tidak ada timeout otomatis berbasis menit atau jam, sehingga sesinya abadi (indefinite). Selama pengguna tidak menekan tombol logout, tidak menghapus cookie, atau tidak ada aktivitas mencurigakan dari perangkat/IP baru, sesi login Google di browser akan terus aktif.

Google lebih memilih menggunakan sistem penilai risiko (risk-based authentication) daripada sesi berbasis timer. Namun, seiring berjalannya waktu, Google menambahkan juga sesi berbasis timer.

Pages: 1 2 3 4