Http Authentifizierung; Konfiguration Der Session Authentication; Kompatibilität Zu Früheren Basic Access Zugriffen - GUDE Systems Expert Power Control 8101 Serie Anleitung

Spezifikationen
http://wiki.gude.info/EPC_HTTP_Interface
4.2

HTTP Authentifizierung

In der Vergangenheit wurde bei den Gude Geräten als Passwort Authentifizierung nur die
HTTP Basic Access Authentication unterstützt. Jetzt wird standardmäßig Cookie-ba-
sierte Session Authentication eingesetzt. Dies hat folgende Vorteile:
· Ein Klick auf den "Logout" Tab hat nun zwingend zur Folge, dass man Benutzername
und Passwort erneut angeben muss, um in das Gerät zu gelangen. Dies ist bei Basic
Access Authentication oft nicht der Fall, weil diese unter der Kontrolle des Web brow-
sers steht.
· Session Authentication ist weniger anfällig für Cross-Site Scripting. Zusätzlich ist eine
erweiterte Sicherheit durch Einsatz eines CSRF-Token konfigurierbar.
· Kombiniert mit der Session Authentication ist eine einstellbare Logout-Zeit, bei der
nach Inaktivität automatisch auf die Login-Seite verwiesen wird.

Konfiguration der Session Authentication

Man kann in der Ethernet Konfiguration (Unterauswahl HTTP Server) die automatischen
Logout Zeiten bei Inaktivität und den Session Authentication Modus auswählen. Bei ei-
ner Logout Zeit von null findet kein automatischer Logout mehr statt. Die Authentication
Modi sind:
1. Basic Compatible: Basic Access und Session Authentication werden akzeptiert.
2. Session: Nur noch Session Authentication erlaubt.
3. Session Extended: Zusätzlich zur Session Authentication wird ein CSRF-Token ver-
langt.
Die Modi Session und Session Extended verhalten sich in der Weboberfläche leicht
verschieden: Öffnet man für eine laufende Session im Modus Session einen neuen Brow-
ser Tab, so wird kein neuer Login verlangt. Im Modus Session Extended muss bei einem
neuen Tab Benutzername und Passwort neu eingegeben werden. Dies liegt daran, dass
das CSRF-Token lokal zum Tab im Webbrowser gespeichert wird.
Kompatibilität zu früheren Basic Access Zugriffen
· Im Basic Compatible Modus sind normal Zugriffe mit Basic Access Authentication
möglich. Auch darf auf alles mit einem HTTP GET Request zugegriffen werden. Dies
führt zur Kompatibilität mit bereits im Markt befindlichen Steuerungen und Treibern die
mit Gude Geräten kommunizieren.
· Wird nicht über Basic Access Authentication sondern mit Session Authentication zu-
gegriffen, sind CGI Abfragen mit Passwörtern, konfigurieren des Gerätes und das
Schalten von Relais nicht mehr mit HTTP GET Requests erlaubt. Es muss ein POST
Request verwendet werden.
59
Expert Power Control 8101 © 2023 GUDE Systems GmbH