Compreender o logout back-channel da OIDC

Contexto#

Garantir a segurança e a privacidade do utilizador é um tema que nunca envelhece. Hoje em dia, o login social tem sido amplamente adotado como método de login, pela sua simplicidade e experiência fluida. No entanto, o que acontece se fizeres logout do fornecedor de identidade social? Os teus outros serviços online que usam a tua identidade social também serão desconectados ao mesmo tempo?

Uma funcionalidade essencial do OpenID Connect (OIDC), o logout back-channel, oferece uma solução robusta para responder a esta necessidade, melhorando a segurança do utilizador ao permitir o logout simultâneo em várias aplicações.

O que é o logout back-channel da OIDC?#

O logout back-channel da OIDC é um mecanismo desenhado para garantir que, quando um utilizador faz logout de um fornecedor de identidade (IdP), ele também seja desconectado de todas as partes confiáveis (RPs) ou aplicações associadas.

O logout back-channel opera através de uma comunicação direta “back-channel” de servidor para servidor, permitindo que o fornecedor de identidade notifique todas as aplicações clientes registadas sobre o evento de logout do utilizador. Consequentemente, as aplicações clientes podem encerrar prontamente as sessões do utilizador e realizar todas as ações de limpeza necessárias.

Como funciona o logout back-channel?#

O processo de logout back-channel envolve vários passos:

1. O utilizador inicia o logout: O utilizador inicia um logout do fornecedor de identidade.
2. IdP envia token de logout: O IdP gera um token de logout e envia-o para todas as RPs registadas através de um pedido back-channel direto.
3. RP processa o logout: Cada RP recebe o token de logout, valida-o e encerra a sessão do utilizador.
4. Confirmação ao IdP: O RP pode enviar uma confirmação de volta ao IdP, reconhecendo o sucesso do logout.

Benefícios e impacto#

A funcionalidade de logout back-channel oferece vários benefícios tanto para utilizadores como para prestadores de serviços:

• Segurança melhorada do utilizador: Os utilizadores podem usufruir de maior segurança e privacidade, sabendo que as suas sessões são prontamente encerradas em todas as aplicações conectadas após o logout.
• Experiência do utilizador simplificada: A experiência de logout sem interrupções reduz o atrito do utilizador e melhora a usabilidade, fomentando confiança e satisfação.
• Conformidade com os padrões de segurança: A adoção do logout back-channel da OIDC alinha-se com as melhores práticas e requisitos regulatórios da indústria, demonstrando o compromisso com práticas de segurança robustas.

Preciso desta funcionalidade. Já é suportada pelo Logto?#

Estamos a testar ativamente esta funcionalidade recentemente, e estará disponível tanto no Logto Cloud como na versão de código aberto do Logto. Fica atento às nossas atualizações futuras.

Conclusão#

O logout back-channel da OIDC é uma funcionalidade essencial nas soluções modernas de identidade, permitindo que os utilizadores tenham maior controlo sobre a sua segurança e privacidade online. Ao adotar este mecanismo, as organizações podem proporcionar uma experiência de logout segura e fluida, protegendo as atividades online dos seus utilizadores.