单点登录解决方案

亦凉 2022-09-14 12:29 336阅读 0赞

**目录**

统一用户管理：

多应用系统带来的问题

解决方案

UUMS应具备以下基本功能:

统一用户认证

定义

统一用户认证应支持以下几种认证方式:

认证策略

非对称加密

数字证书

两个特性不可抵赖性和不可篡改性

信息摘要和数字签名的过程

PKI/CA数字证书认证

单点登录

--------------------

# 统一用户管理： #

## 多应用系统带来的问题 ##

一般来说，每个应用系统都拥有独立的用户信息管理功能，用户信息的格式、命名与存储方式也多种多样。当用户需要使用**多个应用系统时就会带来用户信息同步问题**。用户信息同步会增加系统的复杂性，增加管理的成本。

例如，用户X需要同时使用A系统与B系统，就必须在A系统与B系统中都创建用户X，这样在A、B任一系统中用户X的信息更改后就必须同步至另一系统。如果用户X需要同时使用10个应用系统，用户信息在任何一个系统中做出更改后就必须同步至其他9个系统。用户同步时如果系统出现意外，还要保证数据的完整性，因而同步用户的程序可能会非常复杂。

## 解决方案 ##

解决用户同步问题的根本办法是**建立统一用户管理系统（UUMS）**。UUMS统一存储所有应用系统的用户信息，应用系统对用户的相关操作全部通过UUMS完成，而授权等操作则由各应用系统完成，即统一存储、分布授权。

## UUMS应具备以下基本功能: ##

1．用户信息规范命名、统一存储，用户ID全局惟一。用户ID犹如身份证，区分和标识了不同的个体。

2．UUMS向各应用系统提供用户属性列表，如姓名、电话、地址、邮件等属性，各应用系统可以选择本系统所需要的部分或全部属性。

3．应用系统对用户基本信息的增加、修改、删除和查询等请求由UUMS处理。

4．应用系统保留用户管理功能，如用户分组、用户授权等功能。

5．UUMS应具有完善的日志功能，详细记录各应用系统对UUMS的操作。

# 统一用户认证 #

## 定义 ##

统一用户认证是以UUMS为基础，对所有应用系统提供统一的认证方式和认证策略，以识别用户身份的合法性。

## 统一用户认证应支持以下几种认证方式: ##

1. 匿名认证方式: 用户不需要任何认证，可以匿名的方式登录系统。

2. 用户名/密码认证: 这是最基本的认证方式。

3. PKI/CA数字证书认证: 通过数字证书的方式认证用户的身份。

4. IP地址认证: 用户只能从指定的IP地址或者IP地址段访问系统。

5. 时间段认证: 用户只能在某个指定的时间段访问系统。

6. 访问次数认证: 累计用户的访问次数，使用户的访问次数在一定的数值范围之内。

以上认证方式应采用模块化设计，管理员可灵活地进行装载和卸载，同时还可按照用户的要求方便地扩展新的认证模块。

## 认证策略 ##

认证策略是指认证方式通过与、或、非等逻辑关系组合后的认证方式。管理员可以根据认证策略对认证方式进行增、删或组合，以满足各种认证的要求。比如，某集团用户多人共用一个账户，用户通过用户名密码访问系统，访问必须限制在某个IP地址段上。该认证策略可表示为: 用户名/密码“与”IP地址认证.

## 非对称加密 ##

在公钥体制中，密钥成对生成，每对密钥由一个公钥和一个私钥组成，公钥公布于众，私钥为所用者私有。发送者利用接收者的公钥发送信息，称为数字加密，接收者利用自己的私钥解密; 发送者利用自己的私钥发送信息，称为数字签名，接收者利用发送者的公钥解密。PKI通过使用数字加密和数字签名技术，保证了数据在传输过程中的机密性（不被非法授权者偷看）、完整性（不能被非法篡改）和有效性（数据不能被签发者否认）。

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAUmF5Q2hpdTc1NzM3NDgxNg_size_9_color_FFFFFF_t_70_g_se_x_16][]

## 数字证书 ##

数字证书有时被称为数字身份证，数字证书是一段包含用户身份信息、用户公钥信息以及身份验证机构数字签名的数据。身份验证机构的数字签名可以确保证书信息的真实性。

举个栗子，假设有一天，Alice收到了一份署名为Bob的文件。Alice希望能够确认这份文件一定是来自Bob；另外Alice希望能够确信，这份文件在传输过程中并没有被它人篡改。那么基于非对称密钥算法我们应该怎么做？

### 两个特性不可抵赖性和不可篡改性 ###

确认文件一定来自于Bob，其实就是Bob无法否认自己发送过这份文件。信息安全中称作**不可抵赖性**；另一方面，确信文件并没有中途被篡改，则称作**不可篡改性**。

在非对称密钥算法中提到，公钥加密的内容使用私钥可以解密。同样的，基于私钥加密的内容使用公钥也可以解密，两者一一对应。因此我们可以很容易想到。如果Bob利用自己手里的私钥对文件进行加密后，传输给Alice。Alice再通过公钥库中Bob的公钥进行解密，则可以证明文件一定是由Bob发出（由于只有Bob持有私钥）。另外，因为传输的是密文，如果能够使用公钥解密，同时也证明了文件并没有中途被篡改。这样的做法其实已经同时满足了不可抵赖性和不可篡改性。

然而，由于传输的文件可能很大，为了证明文件的不可抵赖性和不可篡改性，需要对整个文件进行加密，由于**非对称算法效率较低**，这样做的代价太大。因此常规的做法是用到**信息摘要和数字签名**的方式。

### 信息摘要和数字签名的过程 ###

所谓信息摘要，其实就是某种HASH算法。将信息明文转化为固定长度的字符，它具有如下特点：

①无论输入的消息有多长，计算出来的消息摘要的长度总是固定的；

②用相同的摘要算法对相同的消息求两次摘要，其结果必然相同；

③一般地，只要输入的消息不同，对其进行摘要以后产生的摘要消息也几乎不可能相同；

④消息摘要函数是单向函数，即只能进行正向的信息摘要，而无法从摘要中恢复出任何的消息；

⑤好的摘要算法，没有人能从中找到“碰撞”，虽然“碰撞”是肯定存在的。即对于给定的一个摘要，不可能找到一条信息使其摘要正好是给定的。或者说，无法找到两条消息，是它们的摘要相同。

一般的，我们将信息的摘要也称作信息的**指纹**。如同指纹的含义，相同的信息一定会得相同的指纹，而仅通过指纹又无法还原出原始信息。目前主要的摘要算法有**MD5**和**SHA1**。

当有了信息摘要技术以后，基于Bob向Alice发送文件的场景，我们可以进行如下的操作：

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAUmF5Q2hpdTc1NzM3NDgxNg_size_20_color_FFFFFF_t_70_g_se_x_16][]

如上图签名过程详细是：

①　Bob将原始的信息进行一次信息摘要算法，得到原始信息的摘要值；

②　Bob使用自己的私钥，对该摘要值进行加密。得到信息摘要的密文；

③　Bob将原始文件和摘要值的密文一起发送给Alice。

④　一般的，我们将原始文件和摘要密文称作Bob对原始文件的签名结果。

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAUmF5Q2hpdTc1NzM3NDgxNg_size_18_color_FFFFFF_t_70_g_se_x_16][]

如上图接收方解析过程：

①　当Alice接收到Bob传输的信息（原始文件，信息摘要密文）后，使用Bob的公钥将摘要密文解密，得到信息摘要明文；

②　使用信息摘要算法，取原文的摘要信息，获取原始文件摘要信息；

③　Alice比较解密后的摘要信息和取得的摘要信息。如果相同，则可以证明文件一定由Bob发送，并且中途并没有经过任何篡改。一般将这个过程称作验签。

所谓数字签名，就是对原始文件的“指纹”进行了私钥加密。这样，即可保证文件的特征（摘要值）一定经过了私钥的加密。同时由于信息摘要的长度普遍不长（MD5为128位，SHA1主要为256位），也并没有带来太大的开销。

## PKI/CA数字证书认证 ##

PKI/CA数字证书认证虽不常用，但却很有用，通常应用在安全级别要求较高的环境中。PKI（Public Key Infrastructure）即公钥基础设施是利用公钥理论和数字证书来确保系统信息安全的一种体系。

完整的PKI系统应具有权威认证机构CA（Certificate Authority）、证书注册系统RA（Registration Authority）、密钥管理中心KMC（Key Manage Center）、证书发布查询系统和备份恢复系统。CA是PKI的核心，负责所有数字证书的签发和注销; RA接受用户的证书申请或证书注销、恢复等申请，并对其进行审核; KMC负责加密密钥的产生、存贮、管理、备份以及恢复; 证书发布查询系统通常采用OCSP（Online Certificate Status Protocol，在线证书状态协议）协议提供查询用户证书的服务，用来验证用户签名的合法性; 备份恢复系统负责数字证书、密钥和系统数据的备份与恢复。

# 单点登录 #

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAUmF5Q2hpdTc1NzM3NDgxNg_size_10_color_FFFFFF_t_70_g_se_x_16][]

单点登录（SSO，Single Sign-on）是一种方便用户访问多个系统的技术，用户只需在登录时进行一次注册，就可以在多个系统间自由穿梭，不必重复输入用户名和密码来确定身份，一次验证处处通行。单点登录的实质就是安全上下文（Security Context）或凭证（Credential）在多个应用系统之间的传递或共享，一般分布式服务集群都是采用的session共享机制。当用户登录系统时，客户端软件根据用户的凭证（例如用户名和密码）为用户建立一个安全上下文，安全上下文包含用于验证用户的安全信息，系统用这个安全上下文和安全策略来判断用户是否具有访问系统资源的权限。

[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAUmF5Q2hpdTc1NzM3NDgxNg_size_9_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/fa906bac2ce34245bc132e34acde764b.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAUmF5Q2hpdTc1NzM3NDgxNg_size_20_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/d074d17e71aa452080df49a7abefe718.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAUmF5Q2hpdTc1NzM3NDgxNg_size_18_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/0e9f8e95c8a145b9860e886a6868c0d9.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAUmF5Q2hpdTc1NzM3NDgxNg_size_10_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/3b912e85388343d6966a66af3ed3a3ac.png