信息服务平台的单点登录系统的研究与实现

《信息服务平台的单点登录系统的研究与实现》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、信息服务平台的单点登录系统的研究与实现摘要单点登录技术作为一种安全技术被越来越广泛地运用到各个领域的软件系统中。通过分析与总结当前单点登录系统的三种主要模型优缺点，结合基于代理SSO与基于经纪人SSO优点，并针对目前信息服务系统的实际需求特点，设计了BA-basedSSO模型，有效地达到更简洁更安全应用于信息服务系统目的。关键词单点登录；模型；代理1引言随着网络应用的普及，用户所使用的不同网络应用或网络服务数量正在不断增加，为了访问这些受限网络资源，用户往往需要记住大量的帐号/口令对。这种现象日益发达的网络。信息服务平台中往往含有OA系统、经销存系统

2、、财务系统、客户关系管理系统、决策支持系统和网站发布系统等，用户选择平台中的不用业务服务，由于这些系统互相独立，因此需要记住多个不同的帐号与口令，用户在使用每个应用系统之前都必须按照相应的系统身份进行登录。如此方式给用户带来了不少麻烦，特别是随着系统的增多，出错的可能性就会增加，受到非法截获和破坏的可能性也会增大，安全性就会相应降低许多。为解决此类愈见突出的安全问题，采用单点登录技术来提高信息服务平台的安全性显得尤为重要。2单点登录的概念单点登录(SingleSign-On，SSO)，就是一种系统的用户管理机制。用户在网络中只需要主动地进行一次身份认

3、证鉴别登录，即获得需访问系统和应用软件的授权，用户以后的身份认证是系统自动完成的。同时，在此条件下管理员无需修改或干涉用户登录就能方便的实施希望得到的安全控制，能在分布式计算环境中安全、方便地鉴别用户。单点登录的需要满足如下几个要求：从用户的角度看，单点登录不会影响到诸如业务过程、响应效率、网络吞吐量等事情，并将互操作性方面的问题减至最少，任何事情都在顺利工作。从管理员的角度看，计算和网络环境在各个方面必须能被管理，而管理应该不引起额外的工作或安全漏洞。管理过程应该适合组织的结构和政策。这意味着权利和控制需要有一定的层次结构。认证的方法应能在分布式的

4、组织环境中得到全部的贯彻而不用付出额外的努力。所有的应用程序，无论新旧，可以不需要或只需很少的改动即可适应新的认证方式。3单点登录主要模型及其分析单点登录模型主要有三种：基于网关的单点登录(Gateway-basedSSO)模型、基于经纪人的单点登录(Broker-basedSSO)模型和基于代理的单点登录(Agent-basedSSO)模型。3.1基于网关的单点登录模型基于网关的模型主要由三类实体组成：客户端、网关、应用服务器。网关一边连接着客户端，另一边连接着各种应用服务器。网关把外界的客户端和内部的服务器隔离开来。它是客户端访问各种应用服务器必

5、须经过的一道关卡。在这种方案中，所有的响应服务都需要放在被网关隔离的受信网段里。网关是客户端访问各种应用服务器的必经关卡，它把用户身份信息和其有权访问的应用服务器的IP地址记录在表格里。凭着这张表，网关可以轻易地实现单点登录。基于网关的方式不需要对原有系统进行大修改，只要布置一个网关，在其上配置相应的身份认证模块即可。但是网关的性能制约整个系统的认证效率，所以基于网关的方式不适用于大规模用户认证，限制了系统的扩展。另外，网关在整个系统中的重要作用使得它极易成为黑客攻击的目标，一旦网关被攻破，将危及网关后面的各个应用系统的安全。3.2基于经纪人的单点登

6、录模型在此方案中，有一个集中的认证和用户帐号管理的服务器。该模型主要有三个部分：客户端、认证服务器、应用服务器(如图1)，认证服务器充当经纪人的角色。其工作流程：首先，客户端访问认证服务器，与认证服务器进行双向身份认证后，获得电子身份标识；然后客户端凭借已获得的电子身份标识访问各种应用系统，从而实现单点登录。在这一模型中，典型应用范例为Kerberos协议。与基于网关的方式相比，由于为认证提供了一个公共和独立的“第三方”，通过身份认证的客户端持认证服务器返回的电子身份标识去访问应用服务器，而不需要再与认证服务器打交道，从而大大减轻了认证服务器的工作负

7、担。所以基于经纪人的方式可以方便地扩展系统，很适合大规模的用户认证。但是基于经纪人的方式，除了要配置认证服务器外，还必须对各个应用系统进行改造，使得它们能够识别认证服务器发送的电子身份标识。而改造旧的应用系统是非常艰难、代价极大的工程。图1Broker-basedSSO模型图图2Agent-basedSSO模型图3.3基于代理的单点登录(Agent-basedSSO)模型在基于代理的模型中，存在一个自动地为不同的应用程序认证用户身份的代理程序。该代理程序根据代理的具体应用程序而设计不同的功能。代理在服务器的认证系统和客户端认证方法之间充当一个“翻译”

8、，它自动地将认证的负担从客户端移开。基于代理的模型由三个部分组成：客户端、服务器、代理软件(如图2)。代理软