LDAP-запрос из приложения Chrome

Question

Я считаю, что javascript ограничен использованием только HTTP, но мне было любопытно, есть ли что-то там, что может позволить хром-приложению сделать запрос LDAP с клиентской стороны (без необходимости проходить через мой веб-сервер для подключения к LDAP и проверки учетных данных). Моя цель заключается в том, чтобы мои пользователи вошли во внутреннее веб-приложение, используя свои сетевые учетные данные, не дожидаясь моего сервера, чтобы установить соединение HTTPS.

Кроме того, есть ли какие-либо проблемы с безопасностью, такие как установка?

Answer 1

Приложение Chrome действительно способно делать то, что вы хотите. Вы должны использовать API chrome.socket для установления соединения непосредственно с сервером LDAP.

Однако на ваш вопрос задано несколько аварийных сигналов. Если ваш клиентский код отдельно проверяет LDAP для учетных данных и запрашивает веб-приложение для контента, то что мешает злоумышленнику или ошибочному клиенту пропустить шаг LDAP и просто захватывать контент без авторизации непосредственно из веб-приложения? Если ваше веб-приложение предполагает только доверенных клиентов, то зачем вообще вообще проверять LDAP? В реальной жизни этот дизайн будет напоминать передачу банкноту банку: «Мне не нужно показывать вам свой идентификатор, потому что я обещаю, что уже показал его охраннику, размещенному вне банка. Пожалуйста, дайте мне все деньги в моем аккаунте. " Это гораздо более обычное дело - и безопасное - для проверки учетных данных, будь то LDAP или иначе, должно выполняться веб-приложением за HTTP/HTTPS. (OAuth - это еще одна история с точки зрения ее механики, но в принципе это то же самое.)

«не нужно ждать на моем сервере, чтобы установить соединение HTTPS»: совершенно неясно, что вы подразумеваете под этим. HTTPS не имеет ничего общего с аутентификацией (за исключением случаев, когда это подтверждает подлинность сервера). Вы действительно имеете в виду скорость квитирования SSL? SSL-квитирование обычно составляет от 200 до 500 миллисекунд. Если ваш необычный случай использования, это время не имеет значения. И снова HTTPS, как обычно, развертывается, является транспортной безопасностью, не имеющей ничего общего с аутентификацией клиента. Даже если бы вы вычислили нестандартный, но действительный способ аутентификации клиентов, вы все равно хотите, чтобы разговор происходил через SSL, если не было действительно ничего чувствительного к содержимому (в этом случае вам, вероятно, не понадобится проверка подлинности клиента внутри сети первое место).

Другие вопросы выдающиеся, но вы еще недостаточно объяснили свой вариант использования.

TL; DR: да, вы можете сделать это с помощью приложения Chrome. Но да, есть много проблемы безопасности с этим дизайном.