针对自由联盟sso协议的攻击浅析

《针对自由联盟sso协议的攻击浅析》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、第27卷第8期计算机应用与软件Voi．27No．82010年8月ComputerApplicationsandSoftwareAug．2010针对自由联盟SSO协议的攻击浅析张航李建华(中南大学信息科学与工程学院湖南长沙410075)摘要自由联盟的单点登录协议解决了如何在网络联盟内部多个应用系统统一身份认证的问题。介绍自由联盟规范，分析自由联盟的单点登录(SSO)协议的流程步骤及其安全性，并在此基础上，针对基于安全断言标记语言(SAML)的SSO协议提出四种攻击方式，并指明了它们各自的危害。从而从攻击的角度，完成了对自由联盟的SSO协议的安全性分析。关键词自由联盟规范单点登录重放攻击DNS欺骗

2、分布式拒绝服务源IP地址欺骗PRELIMINARYANALYSISONATTACKSAGAINSTSSOPRoToCOLoFTHELIBERTYALLIANCEZhangHangLiJianhua(SchoolofInformationScienceandEngineering，CentralSouthUniversity，Changsha410075，Hunan，China)AbstractSinglesign·on(SSO)protocoloftheLibertyAlliancehasresolvedtheuniformidentityauthenticationproblemofthei

3、nternetwithmorethanoneapplicationsysteminsidethealliance．InthethesiswedescribedtheLibertyAllianceStandard，analyzedtheprocessandthesecurityofSSOprotocoloftheLibertyAlliance；onthatbasis，fourattackswaysagainstSecurityAssertionMarkupLanguage(SAML)·basedSSOwerepointedout，andtheharmsofeachattackwereexpres

4、sedaswel1．Therefore，thesecurityanalysisontheLibertyAlliance’sSSOprotocolwasworkedoutintermsoftheattacks．KeywordsLibertyalliancestandardSinglesign—onPlaybackattackDNSattackDistributeddenialofserviceIPsourceaddressspoofing2)标识提供商Principal的标识的提供商，向其他标识提0引言供商和服务提供商确认Principal身份的可靠性。3)服务提供商这是Principal可能希

5、望使用的服务的提供单点登录技术解决了如何在网站联盟内部多个应用系统统商，但是它不向其他提供商确认Principal身份的可靠性。一身份认证的问题。然而该技术本身的缺陷和漏洞也同样给网4)信任圈信任圈是具有业务关系的服务提供商和标识络联盟的安全性带来了隐患。提供商的团体，将他们联合在一起，使其拥有标识的Principal能目前主流的单点登录协议主要有两个：微软的Passport单点够进行新的安全活动。登录协议和自由联盟的单点登录规范。微软的Passport单点登5)本地标识这是Principal具有的与特定提供商有关的标识。录从本质上来说是一种由微软控制的中央统筹式的单一登录服6)联盟的网络标识

6、这是一组本地标识——能够相互识务。自由联盟的单点登录规范则是采用SAML来进行交互的。别对方的存在，并且能够通过Principal协议一起工作。自由联盟中的身份提供者并不是唯一的，而可以是多个且相互独立存在的，这点是与微软Passport的根本区别。这种不使用中心身份服务器，而使用分布式方式进行身份认证的方法就要求不同的服务提供者和身份提供者之间通过联盟的方式建立信任。由于自由联盟规范仍处于研究阶段，其本身还有一定的缺陷和漏洞。因此，本文将从攻击者的角度出发，对自由联盟的SSO协议进行安全性分析，找出可能被攻击者所利用的安全漏洞。协议介绍及安全性分析在自由联盟规范中，比较常用的对象有：图1自由

7、联盟的SSO协议流程图1)实体PrincipalPrincipal是指在WEB上有一个或者多个标识的实体。Principal常常是指人类用户User，但是有时收稿日期：2009—03—19。张航，硕士生，主研领域：工作流，面向服Web服务也可以视为Principal。务的计算，Web服务。290计算机应用与软件2010丘下面介绍自由联盟的单点登录协议的流程，如图1所示。3)因为重放的信息中有SAM