Czy przeglądarka może przesłać nazwę użytkownika KOMPUTERA?

[siristru]

Koledzy i koleżanki, zastanawiam się nad następującym problemem: czy przeglądarka (Chrome, FireFox etc.) ma dostęp i może przesłać (gdzieś) dalej nazwę użytkownika oraz hasło użytkownika KOMPUTERA.
Czyli dane uwierzytelniające wprowadzane podczas logowania się do systemu operacyjnego (Windows) po uruchomieniu komputera.

O ile wiem, przeglądarka przesyła tzw. nagłówki (Headers) podczas zapytania:

https://www.whatismybrowser.com/detect/what-http-headers-is-my-browser-sending

Nagłówki posiadają odpowiednie pola:

https://en.wikipedia.org/wiki/List_of_HTTP_header_fields

Są tam pola na dane autoryzujące, ale o ile mi wiadomo pochodzą one z formularzy renderowanych przez samą przeglądarkę na stronach internetowych.

Wydaje mi się, że przeglądarka nie ma i nie może mieć dostępu do danych uwierzytelniających do systemu operacyjnego... przynajmniej z powodów bezpieczeństwa. Gdyby mogła takie dane pozyskiwać to był by to raj dla hakerów.

O co cały ten ambaras? Otóż w galaktyce bardzo odległej, nadworny informatyk Imperatora wymyślił, że by ułatwić pracę podwładnym Imperatora, system katalogowy ze zdjęciami Jedi, dostępny on-line w Internecie nie będzie wymagał zalogowania się. Sprytny system, dzięki przeglądarce internetowej WaterFox ma pobierać dane użytkownika zalogowanego do systemu operacyjnego (Doors) i automatycznie logować do katalog z fotkami Jedi. Ma niejako porównywać dane uwierzytelniające przesłane przez przeglądarkę (np. Ferrum) z danymi w Active Directory Doors Server i logować automatycznie.

Wydaje mi się, że to mokry sen... ale pytam i szukam bo zwykły Padawan nie wie wszystkiego a Yoda wyjechał na wakacje...

[rkonik]

Nie wiem po co komplikować życie. Co do przeglądarki to nie powiem że na 100% nie ma dostępu ale nie powinna mieć dostępu do danych logowania do systemu. Jak by tak było to na pewno byś o tym usłyszał.

Poza tym tworzenie takiego systemu przeglądania zdjęć nie musi wymagać dostępu samej przeglądarki do danych logowania. Takie sprawy mogą być załatwiane z poziomu systemu.
Mówiąc trochę drogą okrężną. Jeżeli na danym komputerze jest jeden użytkownik to sprawa prosta. Jeżeli jest więcej użytkowników wówczas należy rozważyć sytuację który z urzytkowników ma dostęp do przeglądania tak naprawdę zasobów sieciowych a który nie ma. Jak to ustalisz wówczas możesz określić i ustawić parametry połączeń pomiędzy maszynami tak że będą miały do tego dostęp konkretne maszyny z konkretnym użytkownikiem.
Takie rozwiązanie nie wymaga znajomości loginu i hasła do komputera. Czy to jest bezpieczne to inna sprawa ale sama przeglądarka nie musi mieć dostępu do danych użytkownika.

Nie wiem czy dobrze Ciebie zrozumiałem i czy taka odpowiedź cokolwiek rozwiała że nie koniecznie musi mieć przeglądarka dostęp do danych logowania aby taki problem rozwiązać.

[terra]

W taki sposób, że otwieramy przeglądarkę i pobierane są dane, nie jest to możliwe, ale pośrednio stosując sztuczkę z auoryzacją single sign on, działającą w tle jest to możliwe, tutaj mały przykład http://blog.stevensanderson.com/2008/08/25/using-the-browsers-native-login-prompt/
specjalnie poaję przykład któr nie jest receptą :). Ale wyobraźmy sobie że taka autoryzacja odbywa się w tle.
Tutaj przykład autoryzowania w tle https://developer.chrome.com/apps/app_identity
Są w tym pewne ograniczenia https://stackoverflow.com/questions/422403/login-without-username-and-password-from-the-web-browser-on-windows

[siristru]

Dziękuję panowie.

Zgadzam się z Tobą @rkonik, że sama próba stworzenia czegoś takiego to przerost formy nad treścią a raczej próba "ułatwienia sobie życia" przez nadwornego informatyka :)

@terra z tego co widzę to cała autoryzacją odbywa się "wewnątrz" i w "ramach" przeglądarki. Tak jak na przykład Chrome i konta Google.

Tutaj jednak chodzi o magiczne pobranie danych z systemu Windows przez przeglądarkę i wysłanie ich do Active Directory by porównać i zalogować użytkownika do systemu.

Już widać, że to raczej NIE możliwe bo było by potencjalnie niebezpieczne. Ale też inna kwestia:

1. Przyjmijmy, że takie pobranie i przesłanie a następnie zalogowanie (czyli otwarcie sesji użytkownika) jest możliwe. Czyli logowanie do Windows = logowanie do systemu w Internecie. Ale użytkownik nie zawsze będzie korzystał z systemu zdalnego... częściej pracuje lokalnie. Zatem sesja jest otwierana niezależnie czy użytkownik z niej skorzysta czy nie.

2. W sytuacji kiedy jeden użytkownik pójdzie do drugiego biura i zaloguje się na czyimś komputerze by coś sprawdzić - dojdzie do konfliktów sesji? Która ma zostać uznana za ważniejszą?

Doprowadza nas to wszystko kolejnych przeszkód i komplikuje sprawę.

Moim zdaniem informatyk coś sobie wydumał... by nie musieć moderować kont w systemie. Ehhh...

[rkonik]

Nie znam szczegółów jednak wygląda mi to na komplikowanie sobie życia. Tym bardziej jeżeli dotyczy to zdjęć czy prostych plików.
Moim zdaniem prościej byłoby to sprowadzić do usług jakiegoś NAS-a przypisać użytkowników dać im odpowiednie uprawnienia i nie komplikować sobie życia. Lokalnie bardzo proste do wykonania. W przypadku rozproszenia biur zastosować VPN i też pójdzie. Oczywiście wymaga to nakładów finansowych jeżeli takiej sieci nie posiadamy.
A to co piszesz to wygląda jakby ktoś chciał na nowo wymyślić koło.