DSM 7.2 Login ohne Userdaten

[alexhell]

Hallo zusammen,

ich habe aktuell DSM 7.2-64570 Update 2 drauf und mir ist das schon länger aufgefallen. Ich beschreibe mal das "Problem":
Man loggt sich ganz normal auf der NAS ein und schließt einfach den Tab. Wenn man jetzt bisschen später sich wieder anmelden will, dann kommt man zur Eingabemaske der Logindaten. Dann tippt man irgendwas als Anmeldenamen ein, drückt Enter und dann lädt man die Seite einfach neu. Nach dem neuladen ist man direkt als der User vorher angemeldet. Ich nutze die neuste Version von Vivaldi und kann das jederzeit nachstellen. Es liegt auf jeden Fall daran, dass Synology im localStorage diverse Daten zwischen speichert und erst nach dem neuladen auswertet und man dann quasi im System ist. Man kann sich also nie sicher sein, dass man wirklich abgemeldet ist . Kennt noch jemand das Verhalten?

 

[Benares]

Ich benutze Chrome. Ich kann dir mal beschreiben, wie es bei mir ist.
Wenn ich angemeldet bin und nur den Tab schließe und dann über einen neuen Tab erneut verbinde, bin sofort wieder drin - ohne Anmeldung.
Melde ich mich dagegen sauber ab, bevor ich den Tab schließe, kommt beim erneuten Aufruf die Anmeldung.
Bei mir sitzt der Haken bei "Angemeldet bleiben".
Blende dir mal bei den Widgets "Verbundene Benutzer" ein, da siehst du, dass ohne Abmeldung die Session offen bleibt.

 

[maxblank]

Hast du den Haken bei „Angemeldet bleiben“ vielleicht gesetzt? Wie meldest du dich ab?
Nur Fenster schließen oder tatsächlich abmelden? @alexhell

 

[alexhell]

Mir ist klar, dass er sich nicht abmeldet wenn ich nur das Fenster schließe. Obwohl er das eigentlich machen müsste. Weil die Session ist nur 15 Minuten gültig. Das heißt wenn ich das Fenster schließe und 1 Stunde später wieder komme, dann müsste er die Daten auswerten und sehen, dass meine Session abgelaufen ist und ich nicht mehr angemeldet bin. Wenn ich nur paar Minuten später wieder komme, dann habe ich das auch verhalten wie @Benares es beschreibt. Also das ich direkt angemeldet bin. Aber wenn ich nach 1, 2, 3 oder 8 Stunden wieder komme, dann habe ich das oben beschriebene Verhalten.
@maxblank ich habe den Haken nicht gesetzt.

Für mich ist das ein Sicherheitsproblem, weil die Daten nicht richtig geprüft werden. Eine Session muss auch ablaufen, wenn man sich nicht abmeldet sondern nur das Fenster schließt.

 

[maxblank]

Das kommt drauf an, wie man es sieht. Aber ich verstehe, was du meinst.

 

[alexhell]

Mich persönlich stört es im Moment nicht, weil ich mich nur an meinem eigenen Rechner/Smartphone anmelde. Da kommt eh keiner ohne Passwort ran. Aber Securitymässig ist das schon Mist.

 

[metalworker]

Also wenn ich mich nicht abmelde kommt das bei mir auch machmal vor,

Aber ich hab mir generell angewöhnt bei wichtigen Systemen mich immer direk abzumelden

 

[maxblank]

Mich persönlich stört es im Moment nicht, weil ich mich nur an meinem eigenen Rechner/Smartphone anmelde. Da kommt eh keiner ohne Passwort ran. Aber Securitymässig ist das schon Mist.

Erlebe ich auch tagtäglich bei vielen Systemen...

 

[synfor]

Also hier (DS218j mit DSM 7.2.1u1) kann ich das Problem nicht nachvollziehen. Ich muss mich immer komplett anmelden. Benutzernamen eingeben und Seite neu laden funktioniert nicht.

 

[Benares]

Hast du den Haken bei "Angemeldet bleiben" an oder aus? Ich den immer an. Müsste ich mal probieren, wie es ist ohne den.

 

[synfor]

aus

 

[Benares]

Grad mal probiert. Mit "aus" hat sich am Anmeldeverhalten nichts geändert. Wenn ich den Tab oder den Browser schließe und neu öffne und verbinde bin ich sofort wieder drin - ohne Anmeldung. Nur wenn ich mich zuvor sauber abmelde passiert das nicht.

Edit: Vermutlich habe ich aber noch irgendeinen Session-Cookie im Cache. Aber um das Verhalten genauer zu untersuchen, fehlt mir momentan neben dem Interesse einfach die Zeit.

 

[alexhell]

Der Tab muss schon länger zu sein.
Hier sieht man das Verhalten: https://youtu.be/7Z91ZVw5FWY Ich habe zwar zwei Zeichen beim Passwort eingetippt, aber danach neugeladen.

 

[maxblank]

Eröffne ein Support-Ticket und dann können die mitteilen, ob es so gewollt ist.