security - LTPAトークンは変更されません

Question

WebSphereでアプリケーションからログアウトして再度オンにすると、LTPAトークンは変更されません。セッショントークンは予測できないはずなので、変わると思いました。

Answer 1

アプリケーションからログアウトするときはどうしますか?

LTPA Cookie を無効にしていますか?

そうでない場合、ブラウザには LTPA Cookie があり、APp サーバーに対して、ユーザーが認証されていることを伝えます。

セッション ID と HTTP セッションと LTPA がまったく同じであると想定しないでください。

Answer 2

一部の製品バージョンでは、ログアウト時にセッション Cookie (JSESSIONID) が変更されません。これは、認証されていないユーザーもセッションを持つ可能性があるためです。そこには実際の問題はありません。SSO Cookie (LTPAKEY および LTPAKEY2) は、適切なログアウト時に無効になります。

また、アプリケーションに問題がある可能性もあります。その場合、システムに組み込まれたカスタム認証システムがあり、WebSphere Application Server が提供するメカニズムを適切に考慮していません。アプリケーションは、たとえば、実際の無効化を呼び出す必要があります。