On Wed, Dec 28, 2005 at 04:42:25PM +0100, Johan Wevers wrote:
> Paul Slootman wrote:
> 
> >Er is dus geen goeie methode voor het "uitloggen", want je logt
> >feitelijk telkens opnieuw in wanneer je een pagina opvraagt...
> >Dit zou dus aan de kant van de browser opgelost moeten worden.
> 
> Beveiliging die afhankelijk is van de implementatie aan de client kant?
> Dat kan hooguit werken op intranetten e.d. waar je geen eigen browsers
> kunt installeren. Daarbuiten stelt het als beveiliging natuurlijk niks
> voor.
Nee. De eerste keer dat jij naar zo'n pagina gaat, sturt the server
terug "Authroization Required". Jou browser vraagt dan voor naam en
wachtwoord. Dan stuurt jou browser die gegevens in een nieuwe request.

Als jij nu op een link klikt binnen die site, zonder een wachtwoord
zegt de server weer "Authorization Required". Dus jou browser is
behulpzaam en stuurt de wachtwoord *elke* *keer*. Het probleem is dat
jou browser niet weet wanneer op te houden met het wachtwoord sturen,
en er is geen manier om van de server te zeggen "stop maar, niet meer
nodig".

Je kan niet uitloggen omdat je nooit ingelogd was. Technisch gezien is
het een fout in de browser, maar iedereen doet het zo...
-- 
Martijn van Oosterhout   <kleptog@svana.org>   http://svana.org/kleptog/
> Patent. n. Genius is 5% inspiration and 95% perspiration. A patent is a
> tool for doing 5% of the work and then sitting around waiting for someone
> else to do the other 95% so you can sue them.

-- Attached file included as plaintext by Ecartis --

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: For info see http://www.gnupg.org

iD8DBQFDsrhrIB7bNG8LQkwRApabAJwJilE8U/XnAhj9i5yDS0EyHDq7aACfcHI5
qd5HAcNW4DveNXlH29JoKaQ=
=UoRv
-----END PGP SIGNATURE-----



