Onderwerp: slim autorisatiemodel?

Situatie: bedrijf A levert online content aan partners, die die
informatie beschikbaar stellen aan geregistreerde bezoekers. De bezoeker
logt in bij de partner, tikt iets in een zoekvakje en krijgt een
antwoord vanaf de server van bedrijf A.

Van belang is dat de content alleen uitgeserveerd mag worden aan bij de
partner ingelogde bezoekers. Bij die partner wordt sowieso al een sessie
gestart; het idee is dat bedrijf A dan bij de partner controleert of die
sessie bestaat. Het sessieID (of beter, een andere unieke code) wordt
door de bezoeker meegestuurd met de zoekopdracht.

Als de sessie bestaat, begint bedrijf A een eigen sessie zodat bij
vervolgqueries niet nogmaals bij de partner gechecked hoeft te worden.

Is dit een verstandige opzet?

--
groet, Ronald

Ronald Klip wrote:
> Situatie: bedrijf A levert online content aan partners, die die
> informatie beschikbaar stellen aan geregistreerde bezoekers. De bezoeker
> logt in bij de partner, tikt iets in een zoekvakje en krijgt een
> antwoord vanaf de server van bedrijf A.
>
> Van belang is dat de content alleen uitgeserveerd mag worden aan bij de
> partner ingelogde bezoekers. Bij die partner wordt sowieso al een sessie
> gestart; het idee is dat bedrijf A dan bij de partner controleert of die
> sessie bestaat. Het sessieID (of beter, een andere unieke code) wordt
> door de bezoeker meegestuurd met de zoekopdracht.
>
> Als de sessie bestaat, begint bedrijf A een eigen sessie zodat bij
> vervolgqueries niet nogmaals bij de partner gechecked hoeft te worden.
>
> Is dit een verstandige opzet?
>

Handiger is waarschijnlijk dat de server van de partner de zoekresultaten
opvraagt bij de server van bedrijf A, en deze vervolgens doorstuurt naar
de klant. Je houdt je klant dan op de goede website en hoeft ook niet met
je authorisatie te gaan knoeien.

Michiel.

Michiel de Roo schreef:
> Ronald Klip wrote:
> > Situatie: bedrijf A levert online content aan partners, die die
> > informatie beschikbaar stellen aan geregistreerde bezoekers. De bezoeker
> > logt in bij de partner, tikt iets in een zoekvakje en krijgt een
> > antwoord vanaf de server van bedrijf A.
> >
> Handiger is waarschijnlijk dat de server van de partner de zoekresultaten
> opvraagt bij de server van bedrijf A, en deze vervolgens doorstuurt naar
> de klant. Je houdt je klant dan op de goede website en hoeft ook niet met
> je authorisatie te gaan knoeien.

Dat is misschien geen slecht idee. Het lijkt ook meer op een heuse 'web
service', waar men wellicht ooit naar toe wil. Lastig is wel dat bedrijf
A het aantal queries per bezoeker wil limiteren; met de query moet dus
wel een unieke bezoekerscode worden meegestuurd. Maar dat moet te doen
zijn.

Autorisatie blijft echter nodig, alleen niet voor de bezoeker maar voor
de partner-server. Ik lees zo her en der dat autorisatie op dit moment
een grote belemmering is voor de voorspelde doorbraak van web services.
Wat is een goede, min of meer veilige techniek voor mijn situatie? De
data (een html-pagina) zelf is niet vertrouwelijk, alleen het handje
schudden van de twee servers.

--
groet, Ronald

Ronald Klip wrote:
> Situatie: bedrijf A levert online content aan partners, die die
> informatie beschikbaar stellen aan geregistreerde bezoekers. De bezoeker
> logt in bij de partner, tikt iets in een zoekvakje en krijgt een
> antwoord vanaf de server van bedrijf A.
>
> Van belang is dat de content alleen uitgeserveerd mag worden aan bij de
> partner ingelogde bezoekers. Bij die partner wordt sowieso al een sessie
> gestart; het idee is dat bedrijf A dan bij de partner controleert of die
> sessie bestaat. Het sessieID (of beter, een andere unieke code) wordt
> door de bezoeker meegestuurd met de zoekopdracht.
>
> Als de sessie bestaat, begint bedrijf A een eigen sessie zodat bij
> vervolgqueries niet nogmaals bij de partner gechecked hoeft te worden.

Er zijn hier wel systemen voor gebouwd, hoewel ik niet zou weten of er
ook OSS/freeware varianten van zijn. Zoek eens op single-login
dingetjes, waarmee je met een login op meerdere sites kan inloggen, want
dat is in feite wat je wil.

Mark

Marcus schreef:
>
> Er zijn hier wel systemen voor gebouwd, hoewel ik niet zou weten of er
> ook OSS/freeware varianten van zijn. Zoek eens op single-login
> dingetjes, waarmee je met een login op meerdere sites kan inloggen, want
> dat is in feite wat je wil.

Your search - "single-login dingetjes - did not match any documents.

Maar bedankt, ik zal eens verder kijken.

--
groet, Ronald

Ronald Klip:
>Marcus:
>> Zoek eens op single-login dingetjes,
>
>Your search - "single-login dingetjes - did not match any documents.

http://avirubin.com/passport.htm

--
René Pijlman

Wat wil jij leren? http://www.leren.nl

Ronald Klip wrote:
> Michiel de Roo schreef:
>
>>Ronald Klip wrote:
>>
>>>Situatie: bedrijf A levert online content aan partners, die die
>>>informatie beschikbaar stellen aan geregistreerde bezoekers. De bezoeker
>>>logt in bij de partner, tikt iets in een zoekvakje en krijgt een
>>>antwoord vanaf de server van bedrijf A.
>>>
>>
>>Handiger is waarschijnlijk dat de server van de partner de zoekresultaten
>>opvraagt bij de server van bedrijf A, en deze vervolgens doorstuurt naar
>>de klant. Je houdt je klant dan op de goede website en hoeft ook niet met
>>je authorisatie te gaan knoeien.
>
>
> Dat is misschien geen slecht idee. Het lijkt ook meer op een heuse 'web
> service', waar men wellicht ooit naar toe wil. Lastig is wel dat bedrijf
> A het aantal queries per bezoeker wil limiteren; met de query moet dus
> wel een unieke bezoekerscode worden meegestuurd. Maar dat moet te doen
> zijn.

Je kunt ook op de server van partner het aantal queries per bezoeker laten
limiteren. De server van bedrijf A hoeft dan alleen het aantal queries per
partner te limiteren. Dat lijkt me eerlijk gezegd ook logischer.

>
> Autorisatie blijft echter nodig, alleen niet voor de bezoeker maar voor
> de partner-server. Ik lees zo her en der dat autorisatie op dit moment
> een grote belemmering is voor de voorspelde doorbraak van web services.

Dat lijkt me wat overdreven. Authorisatie is iets wat al zoveel toegepast
en uitgedacht is.

> Wat is een goede, min of meer veilige techniek voor mijn situatie? De
> data (een html-pagina) zelf is niet vertrouwelijk, alleen het handje
> schudden van de twee servers.

Zo veilig hoeft het niet te zijn m.i. Wat is het ergste dat kan gebeuren
als iemand de boel weet te hacken? Dat ie zelf queries kan gaan opvragen...?

De webserver van partner heeft een vast ip-adres. Je zou aan de hand
daarvan kunnen checken of het een geregistreerde partner server betreft.
Eventueel zou je een registratiecode met het request kunnen meesturen,
maar dat lijkt me eerlijk gezegd niet echt nodig. Wil je het wat veiliger,
dan zou je alles over een ssl verbinding kunnen opvragen.

Michiel.