Path: csiph.com!news.mixmin.net!newsreader4.netcologne.de!news.netcologne.de!fu-berlin.de!uni-berlin.de!individual.net!not-for-mail From: Arno Welzel Newsgroups: de.comp.lang.php Subject: =?UTF-8?Q?Re:_Login_=c3=bcber_mehrere_Apps_oder_single_sign_on?= Date: Thu, 31 Mar 2016 12:08:52 +0200 Lines: 51 Message-ID: <56FCF734.8030005@arnowelzel.de> References: <56FBE7B0.80305@arnowelzel.de> <354648518.20160330203800@gmx.net> Mime-Version: 1.0 Content-Type: text/plain; charset=utf-8 Content-Transfer-Encoding: 8bit X-Trace: individual.net vHsiwSLS0aoC/sgLXBL3QQwC2lnSs0XC0js6Ubyiq9AkrKv0ti Cancel-Lock: sha1:+9OH/Shb/KkSJKeY3idDB0QJR7o= In-Reply-To: <354648518.20160330203800@gmx.net> Xref: csiph.com de.comp.lang.php:3844 Stefan Mayer schrieb am 2016-03-30 um 20:38: > Arno Welzel am Mittwoch, 30. März 2016 (16:50): > >> Jan Novak schrieb am 2016-03-30 um 08:49: > >>> Am 29.03.2016 um 19:39 schrieb Markus Grob: >>>> Jan Novak schrieb: >>>> >>>>> Ich habe mit cookies noch nie gearbeitet. Ich denke eine bestimmte >>>>> Laufzeit wäre nicht korrekt, denn diese soll ja nicht ablaufen, wenn >>>>> sich in der Zwischenzeit wieder jemand anmeldet!? >>>> >>>> Nun, ich halte das Sessioncookie 1 Stunde. Das heisst, nur wenn der >>>> Benutzer 1 Stunde lang nichts macht, fliegt er raus und muss sich neu >>>> anmelden. Du kannst die Zeit natürlich verlängern, doch wieso sollte es >>>> "unendlich" gültig sein? Hier besteht nur die Gefahr eines Missbrauchs. >>> >>> Könnte man aus PHP den Login Namen des am Betriebssystems angemeldeten >>> Benutzer auslesen? Das wäre noch ein nettes Feature zur Anmeldung. > >> Das geht, wenn das Betriebssystem "Windows" ist und der Browser >> NTLM-Authentifizeirung (NTLM - Windows NT LAN Manager) beherrscht: > >> Ob man das wirklich will, ist eine andere Frage. > > So eine Integration in das System würde sich anfühlen jede andere Anwendungen > (im speziellen "Apps") auf dem System auch. Kann ich mich am Desktop anmelden, > kann ich z.B. ja auch zumeist die Mail-App "einstellen" ohne mich erneut an der > App anmelden zu müssen. Die Sicherheitsstufe ist die des ausführenden Systems. Der Server erhält Benutzername *und* Passwort-Hash des anfragenden Nutzers. Man sollte also durchaus sehr gut überlegen, ob man das wirklich will und die entsprechenden Scripte sowie den Server, auf dem das Zeug läuft, entsprechend absichern. Wenn man das will, kann man aber sogar Firefox unter Windows NTLM beibringen: Und ja - es ist durchaus Absicht, dass Firefox das nicht standardmäßig macht. -- Arno Welzel http://arnowelzel.de http://de-rec-fahrrad.de http://fahrradzukunft.de