基于SAML的单点登录安全模型的研究

论文摘要

单点登录的基本思想是用户只需要登录一次就可以访问所有相互信任的应用系统。由于Web服务业务经常需要不同域中的多个站点协同工作,这就面临跨域的协同认证和安全信息传递的问题。因此,基于统一标准-SAML的单点登录就成为当前安全领域的研究热点。本文首先对当前单点登录解决方案的优势和不足进行了详细的分析,然后针对当前单点登录系统虽然能提供单个域内多个站点间联合认证,但缺乏统一标准、运行流程过于复杂和安全性不足等问题,提出了一种基于SOAP消息扩展的安全远程密码认证策略和一种基于SAML的消息安全策略,并在此基础上建立了一个基于SAML的单点登录安全模型,最后在数字化校园中得到实现。本文的主要工作如下:①针对当前SAML单点登录缺乏有效认证机制的问题,本文结合SOAP消息的可扩展性和安全远程密码的优点,提出了一种基于SOAP消息扩展的安全远程密码认证策略。即使用户使用弱口令,该策略也可以保证单点登录过程中口令和验证断言的安全。②针对当前SAML消息机制的脆弱性和传输层消息保护机制的不足,本文提出了一种基于SAML的消息安全策略,并对该策略的安全性进行了总结。该策略能在整个传输期间保证消息的安全,能满足Web服务中安全消息跨节点、跨域等传输的要求。③为解决当前SAML单点登录模型中存在的安全信息交换过程复杂,安全性不足,缺乏灵活性等问题,本文基于①、②两种策略,提出了一个SAML单点登录安全模型。该模型具有流程简单、消息传输量减少、配置灵活等优点。④对上述提出的SAML单点登录安全模型进行了设计和实现,并进行了安全测试。结果表明:本文提出的模型与以前的模型相比,较好地提高了单点登录系统的安全性。

论文目录

• 中文摘要
• 英文摘要
• 1 绪论
• 1.1 研究背景
• 1.2 单点登录研究现状
• 1.3 本文的主要研究内容
• 1.4 本文的组织结构
• 2 单点登录及相关技术概述
• 2.1 现有单点登录实现技术概述
• 2.2 基于SAML 单点登录的优点
• 2.3 SAML 单点登录相关技术概述
• 2.3.1 SOAP
• 2.3.2 SAML 简介
• 2.3.3 XML 签名
• 2.3.4 XML 加密
• 2.3.5 WS-Security
• 2.3.6 PKI 在XML 安全中的应用
• 2.4 本章小结
• 3 一种基于 SOAP 消息扩展的安全远程密码认证策略
• 3.1 现有动态口令认证原理
• 3.1.1 基于时间同步机制的动态口令
• 3.1.2 基于事件同步的认证
• 3.1.3 基于挑战/应答方式的动态口令
• 3.2 安全远程密码
• 3.2.1 安全远程密码的优势
• 3.2.2 安全远程密码的认证机制
• 3.3 一种基于SOAP 消息扩展的安全远程密码认证策略
• 3.3.1 安全远程密码认证策略的工作过程
• 3.3.2 安全远程密码认证策略的安全性
• 3.4 本章小结
• 4 一种基于 SAML 的消息安全策略
• 4.1 传输层保护机制的不足
• 4.2 现有基于SAML 消息机制的不足
• 4.2.1 现有基于SAML 消息传递的方式
• 4.2.2 现有基于SAML 消息机制的脆弱性
• 4.3 一种基于SAML 的消息安全策略
• 4.3.1 基于SAML 的消息安全策略
• 4.3.2 消息格式
• 4.3.3 消息安全处理的流程
• 4.4 消息安全策略的安全性
• 4.5 本章小结
• 5 基于 SAML 的单点登录安全模型
• 5.1 SAML 单点登录的安全需求
• 5.2 基于SAML 的单点登录安全模型
• 5.2.1 消息安全处理和消息传输模块
• 5.2.2 认证模块
• 5.2.3 SSO 门户
• 5.2.4 SSO 认证服务器
• 5.2.5 目标服务站点
• 5.3 基于SAML 的单点登录安全模型的特点
• 5.4 模型实现单点登录的流程
• 5.5 模型的安全性
• 5.6 本章小结
• 6 基于 SAML 的单点登录安全模型的设计与实现
• 6.1 ICE 技术简介
• 6.2 消息安全处理模块的设计和实现
• 6.2.1 消息安全处理模块设计
• 6.2.2 Slice 定义和主要类设计
• 6.2.3 密钥库的建立
• 6.3 传输模块的设计和实现
• 6.4 SRP 认证模块的设计和实现
• 6.5 SSO 门户设计和实现
• 6.5.1 SSO 门户的处理流程
• 6.5.2 主要功能的设计和实现
• 6.6 SSO 认证服务端设计和实现
• 6.6.1 SSO 认证服务器处理流程
• 6.6.2 主要功能的设计与实现
• 6.7 目标服务端设计和实现
• 6.7.1 目标服务端的流程
• 6.7.2 主要功能的设计与实现
• 6.8 功能实现与测试
• 6.8.1 环境配置
• 6.8.2 单点登录的实现
• 6.8.3 安全性测试
• 6.9 本章小结
• 7 结束语
• 7.1 本文总结
• 7.2 下一步的工作
• 致谢
• 参考文献
• 附录
• A. 作者在攻读学位期间发表的论文
• B. 作者在校期间参加的项目