基于改進Kerberos協(xié)議的單點登錄系統(tǒng)研究與實現(xiàn).pdf

1、近年來，隨著企業(yè)信息化進程的不斷加快，企業(yè)在不同時期開發(fā)了多個Web應用系統(tǒng)，而這些系統(tǒng)一般都是獨立開發(fā)的，都有自己認證和授權模塊。當企業(yè)用戶要訪問多個應用系統(tǒng)時，需要多次輸入帳號和口令進行身份認證，給用戶帶了不便，同時也增加了用戶帳號和口令泄露的危險。企業(yè)需要一個能夠對用戶進行統(tǒng)一認證和集中授權的平臺，用戶只要一次通過平臺認證，就可以訪問授權的應用資源，單點登錄正是為解決這個需求而提出的。
　　 本文研究課題建立在一個企業(yè)門戶

2、資源管理系統(tǒng)的單點登錄需求之上，企業(yè)用戶通過門戶系統(tǒng)進行統(tǒng)一的身份認證和授權后，就可以訪問集成在門戶上應用系統(tǒng)。在對單點登錄相關技術進行了研究和分析，并詳細分析了Kerberos協(xié)議認證過程存在的安全問題后，提出了一個改進的Kerberos認證模型。改進的模型引入公鑰密碼體制和USBKey雙因素認證解決了Kerberos口令猜測攻擊和密鑰存儲管理問題；采用隨機數(shù)代替時間戳，有效減少了對時鐘同步的依賴；引入輕量級票據(jù)保證了票據(jù)的安全。

3、r>　　 根據(jù)企業(yè)實際的需求，并在改進的Kerberos認證模型的基礎上，本文設計了一個單點登錄系統(tǒng)，該系統(tǒng)主要有以下幾個功能：
　　 ①統(tǒng)一身份認證。用戶用USBKey首先在客戶端完成雙因素認證，然后用存儲在USBKey中的數(shù)字證書與中心認證授權服務器進行身份認證。
　　 ②集中授權。通過服務訪問票據(jù)和RBAC相結合的方式來實現(xiàn)訪問控制。
　　 ③用戶管理。門戶系統(tǒng)管理員可以對用戶進行統(tǒng)一管理，包括用戶管理、

4、用戶組管理和用戶映射等。
　　 ④應用系統(tǒng)管理。提供應用系統(tǒng)注冊、信息修改和刪除功能。
　　 本文在JavaEE平臺下實現(xiàn)了單點登錄系統(tǒng)。系統(tǒng)通過建立CA負責用戶數(shù)字證書的簽發(fā)、公/私鑰產(chǎn)生，將用戶的數(shù)字證書和私鑰存儲在用戶的USBKey中，同時將用戶的數(shù)字證書存儲在LDAP目錄服務器中用于認證；通過Web Service提供的接口進行統(tǒng)一身份認證。在應用系統(tǒng)集成的方式上采用了兩種方案：對于較難改造的應用系統(tǒng)，采用應用系