Http Authentifizierung; Konfiguration Der Session Authentication; Kompatibilität Zu Früheren Basic Access Zugriffen - GUDE Systems Expert Power Control 8031 Serie Anleitung

Spezifikationen
4.2

HTTP Authentifizierung

In der Vergangenheit wurde bei den Gude Geräten als Passwort Authentifizierung nur
die HTTP Basic Access Authentication unterstützt. Jetzt wird standardmäßig Cookie-
basierte Session Authentication eingesetzt. Dies hat folgende Vorteile:
· Ein Klick auf den "Logout" Tab hat nun zwingend zur Folge, dass man Benutzerna-
me und Passwort erneut angeben muss, um in das Gerät zu gelangen. Dies ist bei
Basic Access Authentication oft nicht der Fall, weil diese unter der Kontrolle des
Web browsers steht.
· Session Authentication ist weniger anfällig für Cross-Site Scripting. Zusätzlich ist ei-
ne erweiterte Sicherheit durch Einsatz eines CSRF-Token konfigurierbar.
· Kombiniert mit der Session Authentication ist eine einstellbare Logout-Zeit, bei der
nach Inaktivität automatisch auf die Login-Seite verwiesen wird.

Konfiguration der Session Authentication

Man kann in der Ethernet Konfiguration (Unterauswahl HTTP Server) die automati-
schen Logout Zeiten bei Inaktivität und den Session Authentication Modus auswählen.
Bei einer Logout Zeit von null findet kein automatischer Logout mehr statt. Die Authen-
tication Modi sind:
1. Basic Compatible: Basic Access und Session Authentication werden akzeptiert.
2. Session: Nur noch Session Authentication erlaubt.
3. Session Extended: Zusätzlich zur Session Authentication wird ein CSRF-Token
verlangt.
Die Modi Session und Session Extended verhalten sich in der Weboberfläche
leicht verschieden: Öffnet man für eine laufende Session im Modus Session einen
neuen Browser Tab, so wird kein neuer Login verlangt. Im Modus Session Extended
muss bei einem neuen Tab Benutzername und Passwort neu eingegeben werden.
Dies liegt daran, dass das CSRF-Token lokal zum Tab im Webbrowser gespeichert
wird.
Kompatibilität zu früheren Basic Access Zugriffen
· Im Basic Compatible Modus sind normal Zugriffe mit Basic Access Authentication
möglich. Auch darf auf alles mit einem HTTP GET Request zugegriffen werden.
Dies führt zur Kompatibilität mit bereits im Markt befindlichen Steuerungen und Trei-
bern die mit Gude Geräten kommunizieren.
· Wird nicht über Basic Access Authentication sondern mit Session Authentication zu-
gegriffen, sind CGI Abfragen mit Passwörtern, konfigurieren des Gerätes und das
Schalten von Relais nicht mehr mit HTTP GET Requests erlaubt. Es muss ein
POST Request verwendet werden.
Wenn man auf der Weboberfläche sich in der Login Seite einmal mit Session
Authentication eingeloggt hat, wird automatisch weiter versucht mit Session Authenti-
cation zu arbeiten. Möchte man zu Basic Access Authentication gelangen, so müssen
vorher die Session Cookies gelöscht werden, und dann auf eine Seite zugegriffen wer-
den, die nicht die Login Seite ist.
Expert Power Control 8031/8035
60
© 2023 GUDE Systems GmbH