3

Tengo un sistema desarrollado en donde quiero embeber por medio de iframe otro sistema donde consulto disponibilidades de un producto, mi sistema requiere autenticación y resulta que el sistema que quiero embeber en el iframe también requiere autenticación, veo que para poder consultar la disponibilidad del producto tengo que autenticarme tanto en mi sistema como en el sistema embebido en el iframe.

¿Cómo puedo evitar esto?¿Cómo puedo autenticarme en el primer sistema y enviar las credenciales de autenticación por medio del iframe al otro sistema? o ¿qué alternativa existe sin tener que integrar ambos sistemas al iframe (no quiero consumir servicios web por temas de tiempo, aunque no sé si esto pueda tardar mas, pensé que usando el iframe podría obtener menor tiempo de desarrollo)?

Muchas gracias de antemano.

3
  • El iframe muestra una web completa, es como abrir una pestaña nueva, lo que puedes hacer es pasar la authenticacion en un header al View/Controller (o como le llames) que va a mostrar la pagina del iframe y con eso reemplazar la autenticacion tradicional
    – Gocht
    Commented el 21 jul. 2016 a las 15:30
  • ambos sistemas tienen pantalla de login o se autentican integrado a windows? puede cambiar el codigo en el sistema que embebes en el iframe? Commented el 21 jul. 2016 a las 16:13
  • hola @LeandroTuttini, ambos tiene pantalla de autenticación pero no puedo modificar el sistema que embebo, es un sistema de un proveedor, solo tengo control sobre mi sistema, espero haberme hecho entender. Commented el 21 jul. 2016 a las 16:19

3 respuestas 3

0

se las debes pasar por metodo get o post, para ello la app de autentificación deberas tenerla en tu page, y pasar el dato que el usuario esta logueado. Ahora si no y te obliga a pasar los datos como user y pass (No recomendado) se los puedes pasar igualmente por post o get conociendo el la función que esta esperando los parametros.

0

Desde un punto de vista de seguridad, la anterior solución me parece bastante insegura. Hay que tener en cuenta que muchas extensiones tienen acceso al código de una web, por ejemplo.

Ello implica que las credenciales estarán en algún sitio del propio cliente y que si dicho usuario es el mismo para todos los usuarios de la aplicación padre, cualquiera con un poco de concimiento podrá acceder a la web embebida sin pasar por la web "padre" al estar las credenciales en el javascript o harcodeados en un json.

¡cuidado con poner información de credenciales en el código!

Una solución alternativa y simple sería configurar un proxy inverso, por ejemplo en Apache o bien en el propio IIS para acceder a dicho contenido y que a su vez requiera el uso de credenciales (que sean las mismas que la de la aplicación "padre", incluso usando un SSO para la APP y el proxy)

La segunda solución es que si siempre son las mismas credenciales para la web del Iframe se embeba un proxy en la aplicación, para evitar que las credenciales lleguen al usuario final. En éste caso las credenciales pueden cogerse de un fichero de configuración, base de datos, o en el caso mas simple ponerlas en el propio código, aunque no recomiendo esta última opción tampoco.

0

Si quieres las credenciales en el iFrame vas a tener que pasárselas por método GET.

Mi recomendación es que utilices un método de encriptado de varias capas, muy dependiente del tiempo y con caducidad.

Haz un API donde puedas loguearte y solicitar un hash. El hash puede contener el ID del usuario, la fecha de creación del hash y alguna variable temporal para que lo encriptes con una llave de tipo Open ssl que diariamente cambie. El hash lo guardas en la DB junto con la llave diaria.

Una vez obtenido el hash utilizas un iFrame y mandas el mismo por una variable GET.

Al recibir esa información en tu sitio, checas el hash, lo obtienes en la db y marcas como encontrado para que si vuelven a usar el mismo ya no funcione, deshasheas y haces tus comprobaciones.

Lo importante es que el hash solo permita un uso y tenga caducidad, sino vas a tener vulnerabilidades grandes. Y ten en cuenta que puedes utilizar micro segundos para asegurar que el hash siempre sea distinto.

Lo más importante, sé creativo, mientras más cosas se te ocurran para generar el hash será más difícil que te hackeen.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.