基于改进Kerberos的Web单点登录方案

《基于改进Kerberos的Web单点登录方案》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、http://www.elecfans.com电子发烧友http://bbs.elecfans.com电子技术论坛基于改进Kerberos的Web单点登录方案121沈桂兰，李辉，李玉霞(1.北京联合大学商务学院电子商务系，北京100025；2.北京化工大学信息科学与技术学院，北京100029)摘要：改进Kerberos协议，提出了一种适用于Web应用系统的单点登录解决方案。在给出Web应用单点登录模型同时，分析用户访问受保护资源时登录认证的执行流程，阐述了单点登录实现的关键数据结构，并与Kerberos协议进行对照比较，最后对方案的安全性进行了分析。关键词：Kerberos协议；单点登录；

2、身份认证；SSL；RBAC中图法分类编号:TP302.1;TP309.2文献标识码：AASingleSign-OnSolutionforWebApplicationsbasedonimprovedKerberos121SHENGui-Lan,LIHui,LIYu-Xia(1.ElectronicBusinessDepartment，BusinessCollageofBeijingUnionUniversity,Beijing100025China；2.SchoolofInformationScienceandTechnology,BeijingUniversityofChemicalTec

3、hnology.Beijing100029China)Abstract:ThispaperimprovedKerberosprotocol,andproposedaSingleSign-OntechnologySolutionfittedforWebapplications.TheSingleSign-Ondesignmodelisputtedforward.Atthesametime,wemainlyanalyzedthekeyexecutedflowsaboutidentityauthenticationwhentheusertriestoaccesstheprotectedwebap

4、plicationresources.Wealsoilluminatedthekeydatastructures,andcomparedthismodelwithKerberosprotocol.Finally,weanalyzedthesecurity.Keywords:Kerberosprotocol;SingleSign-On;Identityauthentication;SSL;RBAC1引言随着网络技术和企业信息化建设的发展，企业网内部建立了许多Web应用系统，提供多种服务，方便用户使用。用户每天登录许多不同的应用系统，这些系统往往拥有独立的认证过程，针对不同的系统需要输入不同的

5、用户名、口令。口令的过渡繁殖带来了工作效率的下降，密码被非法截获的可能性增加等新的问题。同时，各个系统通常都是独立维护自身的授权机制，并且管理的方式各不相同，随着系统数量的不断增加，用户授权的正确性将难以[1]保证，其维护成本以及维护难度也将会随之日益增加。因此，在企业中搭建一个单点登录身份认证平台，对各个系统的认证和访问授权进行统一的管理，就显得十分必要。本文改进Kerberos协议，提出了一种适用于Web应用系统的单点登录解决方案，其目的是方便用户使用、简化登录操作工作，集中授权管理，使得用户只经过一次身份认证，便可以访问多处被授权的资源。2Kerberos协议Kerberos协议是具

6、有单点登录功能协议的典型代表。最初是为TCP/IP网络设计的可信的第三方认证协议。Kerberos可提供安全的网络鉴别，在网络上的起到可信的仲裁者的作用。国家自然科学基金资助项目(70371046)；2007年度北京市拔尖人才资助项目http://www.elecfans.com电子发烧友http://bbs.elecfans.com电子技术论坛协议的实现基于对称加密技术的，它与网络上的每个实体分别共享一个不同的私密密钥，是[2]否知道该密钥就是身份证明。其组成结构如图1所示。图1Kerberos的组成结构图选择Kerberos协议作为单点登录功能的解决方案，基于以下考虑：(1)集中了用户

7、的账号管理，减轻系统的维护负担；(2)可实现用户和服务器的相互认证，提高了系统的安全性；(3)采用票据访问目标系统，是目前采用得一种比较流行的单点登录技术。但传统的Kerberos协议是基于对称密钥加密，需要客户端具备复杂的计算功能，浏览[3]器是“瘦客户端”，无法完成复杂的计算，而且HTTP协议的无状态性也给Web应用部署Kerberos带来了问题，因此我们结合Cookie技术、HTTP重定向技术，并利用SSL技术简化