Definice SSO v zadávací dokumentaci

[dark_stuff]

Našel by se nějaký právník s IT zaměřením, nebo nějaký zkušený obchodník? Nemůžeme se shodnout se zákazníkem, zda splňujeme jeden bod v zadávací dokumentaci.

Řešení obsahuje Single sign on (SSO) přihlášení s využitím autentizačních údajů operačního systému. Řešení obsahuje funkcionalitu napojení na systém LDAP a ověření autentizačních údajů.

Naše aplikace při spuštění vyplní uživatelské jméno uživatele přihlášeného ve Windows (čímž dle mého splňujeme část "přihlášení s využitím autentizačních údajů operačního systému") a po vyplnění hesla uživatelem ověřujeme údaje v AD (část "napojení na systém LDAP a ověření autentizačních údajů").
Zákazník po nás požaduje zapracovat úpravu, aby uživatel nemusel vyplňovat ani heslo, a aplikace se přihlásila automaticky. Podle mě to jednak není specifikováno v zadávačce, a jednak by to šlo proti bezpečnostním standardům (v aplikaci se schvalují a odesílají objednávky o velkých objemech, pracuje se s fakturami, smlouvami, prostě knédl citlivých údajů).

[satik]

Kdybych tohle implementoval, tak bych to z popisu chápal i s tím heslem, jelikož tam je autentizačních údajů - je to tam explicitně v množném čísle.

Ohledně bezpečnosti bych to asi řešil tak, že bych zákazníka na to upozornil (v ideálním, případně to mít někde písemně) a když by na tom trval, tak naimplementoval.

[dark_stuff]

Otázkou není, jak to chápat, nebo jak si to vyložit. Otázkou je, jestli naše řešení splňuje zadání. My nejsme teoreticky proti zapracování úpravy, když si chtějí dělat bezpečnostní díry, je to jejich rybíz. Jde o to, jestli si mají úpravu zaplatit, nebo jestli je to vada, kterou je potřeba na základě ZD odstranit.

[satik]

Podle mě to zadání nesplňuje - viz můj minulej koment.

Ale nejsem ani právník ani obchodník.

[Natural]

Normálně to je přesně tak jak to chtějí. Údaje jsou "množné" jako jméno a heslo, takže autorizovat přístup má pouze ldap na základě přihlášení do os bez čehokoli dalšího. Takže rozhodně vada.

[MrHackCZ]

Ja si teda SSO predstavuju stejne jako zakaznik. Minimalne tak ho pouzivam. Mam nekolik sluzeb, ktere maji auth backend LDAP. Zaroven na X sluzbach mam zapnute SSO a kdyz se prihlasim na jedne sluzbe a prepnu na druhou, jsem v ni automaticky prihlaseny.

[dark_stuff]

Být to na mně, tak je to podle zákazníka. Bohužel obchod je obchod . Doufal jsem, že se někdo vytasí s jasnou definicí, ale i tak všem díky.