การติดตั้ง Shibboleth Single Sign-On
ตอนที่ 10 - จัดเตรียมแอททริบิวท์

15. จัดเตรียมแอททริบิวท์

แอททริบิวท์คือข้อมูลที่จะถูกส่งจากระบบ Login Module ของ IdP กลับมาที่ SP หลังจากที่ล็อกอินผ่านแล้ว โดยปกติแล้วเราอาจจะต้องการข้อมูลบางอย่างเช่น ชื่อ นามสกุล เบอร์โทร ตำแหน่งงาน ของผู้ใช้ซึ่งข้อมูลเหล่านี้มักจะมีเก็บไว้ในระบบ LDAP อยู่แล้ว เพียงแต่เราจำเป็นต้องบอกให้ IdP ส่งข้อมูลเหล่านี้ออกมาด้วย

15.1 ตรวจสอบว่ามีแอททริบิวท์อะไรบ้างด้วยไฟล์ shibenv.php

ก่อนอื่นเราจำเป็นต้องตรวจสอบก่อนว่ามีแอททริบิวท์อะไรบ้างที่รับมาจาก IdP โดยก็อปปีไฟล์ shibenv.php จากโฟลเดอร์ c:\sso\setup\samples\app1 มาวางไว้ที่โฟลเดอร์ c:\sso\Apache2.2\htdocs\secure แล้วทดลองเบราซ์ไปที่ไฟล์ shibenv.php ผ่านทางหน้าต่างเบราเซอร์ โดยไปที่ http://127.0.0.1/secure/shibenv.php ซึ่งควรจะได้ผลลัพธ์ดังนี้

รูปภาพ 83 พบว่าไม่มี REMOTE_USER หรือแอททริบิวท์เพิ่มเติมใดๆส่งมาจาก IdP
เมื่อรันไฟล์ shibenv.php เราจะพบว่าแอททริบิวท์ยังไม่ถูกส่งมาจาก IdP เช่น REMOTE_USER ยังไม่มีค่า ซึ่งหากเป็นเช่นนี้จะทำให้แอพพลิเคชันของเราไม่สามารถตรวจสอบได้ว่าใครเป็นผู้เข้ามาใช้งานระบบเราอยู่ในปัจจุบัน

15.2 แก้ไขไฟล์ attribute-map.xml ที่ SP

เปิดไฟล์ attribute-map.xml จากโฟลเดอร์ c:\sso\shibboleth-sp\etc\shibboleth ขึ้นมาแก้ไขดังนี้

รูปภาพ 84 ให้เปิดคอมเมนต์ (Comment) ของ XML ที่เขียนไว้ว่า Examples of LDAP-based ...
เปิดคอมเมนต์ด้านล่างบริเวณ LDAP-based attributes ออกให้หมด แล้วบันทึกไฟล์ attribute-map.xml ไว้

15.3 แก้ไขไฟล์ attribute-resolver.xml ที่ IdP

เปิดไฟล์ attribute-resolver.xml จากโฟลเดอร์ c:\sso\shibboleth-idp\conf ขึ้นมาแก้ไขดังนี้

รูปภาพ 85 เปิดคอมเมนต์ของบริเวณ Core schema attributes
เปิดคอมเมนต์ XML ของบริเวณที่เขียนว่า Core schema attributes ออกให้หมด

รูปภาพ 86 เปิดคอมเมนต์ของบริเวณ inetOrgPerson attributes
เปิดคอมเมนต์ที่บริเวณ inetOrgPerson attributes ออกมาให้หมดด้วย

รูปภาพ 87 เปิดคอมเมนต์ของ resolver ที่มี id=”myLDAP”
ให้เปิดคอมเมนต์ที่ <resolver:DataConnector id=”myLDAP” ... > และแก้ไขให้ค่าคอนฟิกตรงกับระบบ LDAP ของเราคือ ldapURL=”ldap://127.0.0.1:10389” baseDN=”ou=users,ou=system” principal=”uid=admin,ou=system” principalCredential=”secret”
บันทึกไฟล์ attribute-resolver.xml ไว้ แล้วดำเนินการที่ขั้นต่อไป

15.4 แก้ไขไฟล์ attribute-filter.xml ที่ IdP

เปิดไฟล์ attribute-filter.xml จากโฟลเดอร์ c:\sso\shibboleth-idp\conf ขึ้นมาแก้ไขดังนี้

รูปภาพ 88 เพื่ม AttributeRule เข้าไปอีก 3 ค่าคือ uid, surname และ commonName
บันทึกไฟล์ attribute-filter.xml ไว้แล้วดำเนินการที่ขั้นต่อไป

15.5 ทดสอบการส่งค่าแอททริบิวท์จาก IdP มาที่ SP

ให้รีสตาทร์ Shibboleth 2.0 Daemon, Apache Web Server และ Tomcat ใหม่อีกครั้ง และเบราซ์ไปที่ http://127.0.0.1/secure เมื่อล็อกอินเข้าระบบแล้ว ให้เบราซ์ต่อไปที่ http://127.0.0.1/secure/shibenv.php จะได้ผลลัพธ์ดังนี้

รูปภาพ 89 พบว่า cn และ sn ถูกส่งมาจาก IdP มาที่ SP แล้ว
ซึ่งโปรแกรมเมอร์ที่เขียนโปรแกรม PHP สามารถตรวจสอบผู้ใช้ว่าเป็นใครได้โดยเขียนโปรแกรม
$user = $_SERVER[‘cn’]

15.6 ทดสอบเปิดมากกว่า 1 เซสชัน

ให้ทดสอบโดยเปิดโปรแกรม iexplore มากกว่า 1 เซสชันโดยรันคำสั่ง iexplore –new “http://127.0.0.1/secure” แล้วล็อกอินเข้าเป็น user1 และ user2 ตามลำดับ เมื่อลองตรวจสอบค่าใน $_SERVER จะพบว่า cn และ sn จะถูกแยกกันไปตามแต่ละเซสชันของผู้ใช้อย่างถูกต้อง

รูปภาพ 90 เปิด 2 เซสชันพบว่า user1 กับ user2 แยกกันอยู่คนละเซสชันอย่างถูกต้อง

ความคิดเห็น

แสดงความคิดเห็น

โพสต์ยอดนิยมจากบล็อกนี้

การติดตั้ง Shibboleth Single Sign-On
ตอนที่ 12 - การทำ SLO (Single Log-out)

รูปภาพ
19. การติดตั้ง Shibboleth แบบไม่ใช้ SSL ปัญหาที่เราจะพบในการใช้ SSL คือ ปัจจุบันเราใช้ Self Certificate X509 v3 ในการเข้ารหัสเพื่อทำ SSL ระหว่างตัว SP และ IdP แต่หากนำไปใช้งานกับ Internet Explorer จะพบข้อความแจ้งเตือนทุกครั้งก่อนที่เข้าถึงหน้าจอล็อกอิน เนื่องจาก Internet Explorer ตรวจสอบพบว่า Self Certificate ที่เราใช้งานนี้ไม่ได้รับรองโดย CA (Certificate Authority) ซึ่งหากเราต้องการเลี่ยงข้อความแจ้งเตือนดังกล่าวนี้ เราสามารถทำได้ 2 วิธีคือ 1.    ขอซื้อ Certificate X509 v3 ที่ถูกต้องและได้รับการรับรองจาก CA ที่มีได้รับการเชื่อถือ (Trust) ทางตรง หรือ ทางอ้อมจาก Internet Explorer (ดูที่รายการ Trust Root Certificate ในหน้าต่างปรับแต่งค่า Security ของ Internet Explorer) 2.    ไม่ใช้ SSL ของ Tomcat ทางพอร์ต 8443 และใช้พอร์ต HTTP ปกติที่หมายเลข 8080 แทน ในที่นี้จะแสดงวิธีการปรับแต่งไฟล์ idp-metadata.xml และ shibboleth2.xml แบบที่เลี่ยงการใช้งาน SSL และใช้พอร์ต HTTP 8080 ตามปกติของ Tomcat 19.1 แก้ไขไฟล์ idp-metadata.xml ไปที่โฟลเดอร์ c:\sso\shibboleth-idp\metad...
อ่านเพิ่มเติม

ตัวอย่างการเข้ารหัส AES ด้วย Java และถอดรหัสด้วย C#.NET

รูปภาพ
ตัวอย่างการเข้ารหัสแบบ AES 128 bit บน Java และ .NET 1. การทดสอบการเข้ารหัสและถอดรหัสระหว่าง Java และ .NET 1.1 การเข้ารหัสด้วย Java ให้รันไฟล์ TestEncrypt.java จะได้ผลลัพธ์ดังนี้ รูปภาพ 1 ผลลัพธ์การรันไฟล์ TestEncrypt.java สังเกตว่า cipher text ของภาษาไทยจะยาวกว่าเพราะเข้ารหัสตัวอักษรแบบ UTF8 1.2 การถอดรหัสด้วย Java ให้รันไฟล์ TestDecrypt.java จะได้ผลลัพธ์ดังนี้ รูปภาพ 2 ผลลัพธ์การรันไฟล์ TestDecrypt.java 1.3 การถอดรหัสด้วย .NET ให้รันโปรเจค Encryption จะปรากฏแบบฟอร์มดังนี้ รูปภาพ 3 แบบฟอร์มการทดสอบที่ .NET ให้ก็อปปี้ cipher text ของคำว่า Hello World จากภาพที่ 1 ที่ได้จากโปรแกรมฝั่ง Java มาแปะไว้ในเท็กบ็อกซ์ Cipher Text แล้วกดปุ่ม Decrypt จะได้ผลลัพธ์ดังนี้ รูปภาพ 4 ผลลัพธ์การถอดรหัสที่ฝั่ง .NET ได้คำว่า Hello World กลับมาถูกต้อง 1.4 การถอดรหัสคำภาษาไทยด้วย .NET ให้ก็อปปี Cipher Text ของคำว่า “ สวัสดีครับ ” มาจากผลลัพธ์ในภาพที่ 1 ของโปรแกรม Java เอามาใส่ใน .NET แล้วกดปุ่ม Decrypt จะได้ผลลัพธ์กลับออกมาเป็นคำว่า “ สวัสดีครั...
อ่านเพิ่มเติม

การรักษาความปลอดภัยแบบ OWASP

รูปภาพ
การรักษาความปลอดภัยระบบเว็บแอพพลิเคชันตามวิธีการ OWASP ความเป็นมา เนื่องจากปัจจุบันบริษัทเป็นผู้พัฒนาและส่งมอบระบบเว็บแอพพลิเคชันที่ใช้งานระดับองค์กรจำนวนหลายโครงการให้กับหน่วยงานตั้งแต่ขนาดกลางถึงขนาดใหญ่ จึงจำเป็นต้องคำนึงถึงการรักษาความปลอดภัยข้อมูลเป็นนโยบายอันดับต้น โดยแนวทางการรักษาความปลอดภัยที่ได้รับความนิยมในปัจจุบันก็คือ OWASP (Open Web Applicatoin Security Project) ซึ่งได้รวบรวมจุดอ่อนทางด้านการรักษาความปลอดภัยของระบบเว็บแอพพลิเคชันไว้จำนวนมาก พร้อมทั้งแนะนำแนวทางป้องกันที่เป็นรูปธรรม สามารถนำมาใช้ปฏิบัติได้เพื่อป้องกันไม่ให้ระบบเว็บแอพพลิเคชันเกิดช่องโหว่ และถูกจู่โจมลักลอบใช้งานหรืออาจจะถูกเข้าถึงข้อมูลและนำไปใช้โดยผู้ที่ไม่พึงประสงค์ แนวทาง OWASP จุดอ่อนทางด้านการรักษาความปลอดภัยข้อมูล 10 อันดับแรก ที่ OWASP แนะนำไว้มีดังต่อไปนี้ 1.    Cross Site Scripting 2.    Injection Flaws 3.    Malicious File Execution 4.    Insecure Direct Object Reference 5.    Cross Site Request Forgery (CSRF) 6.    I...
อ่านเพิ่มเติม