Hi again.
Ich fände es zum Beispiel sehr sinnvoll, wenn alle Software erstmal via HTTP-Auth über den Webserver (nginx) abgeschirmt wird. Und der die Authentifikation (über LDAP oder was auch immer) übernimmt. Das würde die Angriffsfläche enorm reduzieren. Stattdessen ist praktisch jede (Web-)Applikation selbst dafür verantwortlich, und die nächste PHP-Sicherheitslück schlägt sofort durch alles hindurch.
So wie ich das verstehe, wird das genau so gemacht. Dafür gibt es das sso System.
In den Demo-Anwendungen habe ich Web-Formulare für Login gesehen, kein HTTP-Auth.
Daher gehe ich davon aus, dass die Applikationen alle selbst authentifizieren.
Damit ist die Angriffsfläche 'zigmal größer, als wenn erst einmal alles gegen den Web-Server authentifizieren muss. Denn dann hätten dann nur noch _authentifizierte_ Nutzer die Möglichkeit, Sicherheitslücken in den einzelen Web-Applikationen überhaupt zu triggern, und nicht das gesamte Internet.
Hier findest du weitere Informationen zum SSO System.
https://github.com/YunoHost/SSOwat
Viele Grüsse Marcus