[go: up one dir, main page]

CN1855814A - 一种安全的统一身份认证方案 - Google Patents

一种安全的统一身份认证方案 Download PDF

Info

Publication number
CN1855814A
CN1855814A CN 200510067872 CN200510067872A CN1855814A CN 1855814 A CN1855814 A CN 1855814A CN 200510067872 CN200510067872 CN 200510067872 CN 200510067872 A CN200510067872 A CN 200510067872A CN 1855814 A CN1855814 A CN 1855814A
Authority
CN
China
Prior art keywords
user
portal
resource
credential
scheme
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN 200510067872
Other languages
English (en)
Inventor
南凯
杨宏伟
虞淑瑶
刘艳
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Computer Network Information Center of CAS
Original Assignee
Computer Network Information Center of CAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Computer Network Information Center of CAS filed Critical Computer Network Information Center of CAS
Priority to CN 200510067872 priority Critical patent/CN1855814A/zh
Publication of CN1855814A publication Critical patent/CN1855814A/zh
Pending legal-status Critical Current

Links

Landscapes

  • Information Transfer Between Computers (AREA)

Abstract

在分布式网络环境中,用户在跨域访问网络资源时需要多次出示身份认证凭证进行系统登录,带来了效率低下,安全隐患重重的问题。本发明是一种安全实用的统一身份认证方案,提供在分布式网络环境中的统一身份认证机制,利用标准浏览器的Cookie机制和重定向功能,在门户站点集中认证用户,安全传递用户认证后的凭证到资源站点,由资源站点解释用户访问权限并响应其访问请求。本发明实现了用户只需一次登录,即可多次安全访问所有资源站点的功能。

Description

一种安全的统一身份认证方案
一.技术领域
本发明属于计算机网络安全和密码技术领域,是一种基于WEB方式,实现跨域身份认证的安全认证方案,实现了单一登录多次访问的安全认证机制。适用于有统一身份认证需求的,要求实现单一登录的跨域安全认证应用场景。
二.背景技术
目前,分布式系统的用户身份认证普遍采用的是分散登录、分散管理,各子系统之间由于缺乏良好的通用性,频繁的身份注册和隐藏的安全隐患成为突出问题。在众多需要登录的管理系统中,我们最通常的方法是,注册通用的用户名和口令。然而,由于不同系统的安全机制强弱不同,一旦用户在某个系统中的注册信息丢失,则意味着其它系统的安全机制丧失;若不同系统用不同的身份注册,则要记住太多的信息。因此,信息系统需要有一个统一的、具有较高安全控制的身份验证系统,以保证数据安全和用户操作方便。
三.发明简要
为了克服现有的用户身份认证机制的不足,本发明提供一种安全用户身份认证机制,该机制不仅能识别用户身份,而且能方便地实现用户跨域自动识别用户身份,即用户在跨域访问资源时,只需出示一次身份凭证就可以实现安全登录多个域来访问资源。
四.发明内容
我们将分三部分介绍本方案解决其技术问题所采用的技术方案,在4.1节我们介绍该方案的整体框架,在4.2节介绍方案运行的细节,在4.3节介绍其安全性;第4.4节介绍本方案的应用场景。
术语及说明
●门户:一个WEB站点,负责所有用户的管理和认证,提供用户选择资源的列表,需要权威机构颁发的X.509数字证书,能够与其他实体建立HTTPS连接,能够进行DES加解密算法,并保存有用于DES加解密的密钥,能够利用X.509数字证书所对应的私钥进行数字签名运算。
●资源站点:WEB站点,信任门户,接受门户颁发给用户的认证凭证,能够利用门户的X.509数字证书进行验证数字签名运算。推荐使用支持HTTPS连接的服务器端设置。
●客户端:支持Cookie和重定向的标准浏览器。
●UID:用户登录门户的用户名。
●passwd:用户登录门户的口令。
●UIP:用户客户端登录门户时的IP地址。
●RoleID:用户在门户上获得的角色号,它表明用户的类型,用户注册时,由门户的管理员根据用户特征决定。传递到资源站点时,由资源站点来解释其含义。
●timeInterval:门户定义的用户凭证的有效期时间长度。
●WebServerURL:用户访问资源站点的URL。
●Pcookie:其内容是用户通过认证后的相关信息,其结构为Ek(UID+RoleID+timeInterval+UIP),该结构表示使用k作为加密密钥,DES作为加密算法,加密UID+RoleID+timeInterval+UIP信息得到的结果,其中,k是门户为加密Pcookie产生的一个随机密码,以文件形式秘密存放在门户本地存储设备上。门户将Pcookie作为Cookie写入到用户端浏览器。
●timeStamp:门户生成用户凭证时的当前门户的系统时间(时间戳)。
●Credential:门户颁发给合法用户的凭证,其结构为:RoleID+timeInterval+timeStamp+UIP+WebServerURL。
4.1方案介绍
如附图1所示,(a)在SSL保护下,用户输入UID和passwd,登录门户,门户检查用户的UID和passwd是否合法,如果合法就(b)生成Pcookie,存储到用户浏览器上,否则就提示用户非法登录。
①用户访问相应的资源站点,②资源站点访问控制程序自动把用户访问请求重定向回门户,在这一过程中,门户程序会自动读取客户浏览器上的Pcookie,DES解密后提取Pcookie中的RoleID、timeInterval、UIP,以及获取的timeStamp、WebServerURL构造Credential,③门户利用其数字证书的私钥对Credential进行数字签名,并④把Credential及其签名通过用户浏览器重定向发送给资源站点的访问控制程序,资源站点对Credential的签名进行验证,同时对用户Credential的内容明文进行验证;如果资源站点收到的Credential合法,⑤资源站点就返回给用户所请求的资源。
4.2方案的运行细节
如附图2所示,方案的运行过程分为三个阶段,初始化阶段、门户认证阶段和资源站点认证阶段。
4.2.1初始化阶段
首先,门户获得权威机构颁发的X.509数字证书,并存储在相应位置,门户的Web服务程序识别该X.509数字证书,并准备与任何用户的浏览器建立单向服务器认证的SSL连接,同时,该证书用来对发往资源站点的用户凭证进行数字签名。其次,资源站点需要从门户下载门户证书,用来对收到的用户凭证的签名进行验证。最后,用户需要在门户上注册用户信息,主要包括UID、passwd等,门户管理员根据用户注册信息特征分配给用户RoleID。
4.2.2门户认证阶段
这一阶段分两个过程:用户登录门户获得合法用户身份凭证,即存储在客户端浏览器中的Pcookie;另一个过程是,用户访问资源站点过程中,进行的用户认证过程。
(1)用户通过浏览器与门户建立基于SSL的安全连接,并同时对门户的身份进行认证。
(2)用户输入UID和passwd,登录门户。
(3)用户登录成功后,门户查找该UID对应的RoleID。门户构造Pcookie写入到用户端。Pcookie的明文内容为:UID+RoleID+timeInterval+UIP,将这个结构用DES加密后作为cookie存储在客户端。
(4)用户可以通过两种方式来访问受保护的资源站点,一种是从门户提供的“资源列表,,里选择资源站点;另一种是用户直接访问资源站点。无论哪种情况,资源站点程序都会把用户重定向到门户,并把WebServerURL提交给门户。
(5)门户检查客户端浏览器中Pcookie是否存在:
a)如果Pcookie不存在,则返回门户登录界面,要求用户登录门户。
b)如果Pcookie存在,对其进行DES解密,如果不能分离出有效的UID+RoleID+timeInterval+UIP结构,则认为Pcookie无效,给出错误信息并结束用户访问。如果能够正确分离,则Pcookie有效。门户构造Credential,结构为:RoleID+timeInterval+timeStamp+UIP+WebServerURL,并对Credential利用门户证书进行签名,签名算法默认是:SHA1withRSA。至此,用户得到了用户访问资源的凭证以及该凭证的门户签名。
4.2.3资源站点认证阶段
该阶段资源站点根据前一阶段得到的Credential及其门户签名,对用户访问资源的合法性进行检查,对合法请求给予正确的响应。
(1)门户把用户重定向到资源站点,并把Credential及其签名以表单形式提交给资源站点的访问控制程序。
(2)资源站点收到门户的重定向请求,取出Credential,并利用门户的X.509数字证书对其签名进行验证:
a)如果签名验证未通过,就认为这个重定向请求非法,给出错误信息,并结束用户访问。
b)如果签名验证通过,就取出Credential中的RoleID、UIP、timeInterval、timeStamp以及WebServerURL;
c)对用户凭证进行验证。
●比较Credential中的UIP与当前用户IP,如果不同,则用户非法,终止访问;
●如果相同,则比较资源站点的当前时间与timeStamp差值是否小于timeInterval,如果大于,说明Credential有效期已过,终止访问;
●否则,比较资源站点的域名是否包含在WebServerURL,如果不包含,就终止用户访问;
●否则就通过了用户凭证的验证过程。
d)利用所获得的RoleID来进行本地的用户访问控制。
4.3方案的安全性
4.3.1重放攻击
在每次认证过程中,我们要求资源站点对用户目前的IP地址与Credential中的UIP比较,而Credential中的UIP来自于用户登录门户时的用户IP,如果是重放攻击,由于攻击者的IP与Credential中的IP不同,就会被资源站点拒绝。同时,由于Credential的门户签名是不可伪造,保证了Credential中的UIP不可伪造。另外,Credential的生存期由门户的时间戳与timeInterval决定,重放攻击的有效期也受到很大的限制。
4.3.2对于DoS攻击(拒绝服务攻击)
由于本系统不涉及入侵检测等防止DoS攻击的技术,所以不可抵御DOS攻击,要求各个实现站点部署相应的硬软件手段防止DoS攻击。
4.3.3SSL连接的安全性
要求门户必须具备权威机构颁发的证书,并且客户端承认其合法性才能建立客户端与门户站点的安全的基于SSL的连接。
4.4该方案的应用场景
本发明是针对分布式网络环境下,用户跨域访问资源的应用场景。通过利用门户集中统一管理用户身份信息,利用DES加解密方法实现把用户认证后的合法身份存储到用户浏览器端,保证了用户合法身份不被泄漏;然后,用户凭借此合法身份凭证访问所有实施本发明的资源站点,不必再次参与用户认证过程,从而实现安全、方便的用户认证、访问资源。随着电子商务的发展,企业全球化的进程,网络用户跨多个域访问资源的需求十分迫切,本发明适合与多个相关行业,相关企业或者以其他形式形成联盟关系的网络域环境,进行用户认证管理场景。本发明已经运行在科技部主持的共享全国科技资源的“国家科技基础条件平台”项目中,显现出了巨大优势。
根据本方案,可以构造用户统一身份认证框架,整合现有的资源系统,并为以后新建资源系统的迁入提供规范的程序。一方面从用户角度,用户仅维护单一的身份凭证,而且仅需出示一次,就可以访问框架内所有域内资源;另一方面从各个资源域角度,不再需要独立维护一整套用户管理过程,仅需承认门户的用户的合法性就可以实现对用户的身份认证过程。本发明的潜在的巨大社会作用是能够推动网络应用的普及化和日常化。
五.附图说明
附图1是本方案的整体方案图
附图2是本方案的程序流程图。

Claims (2)

1.一种安全的统一身份认证方案,在分布式网络环境中,基于标准浏览器的Cookie技术,在门户上集中认证用户,安全传递用户认证后的凭证到资源站点,资源站点解释用户角色号并响应其访问请求,其特征是:用户仅出示一次身份凭证信息,即可安全访问方案内的所有资源站点。
2.如上述权利要求1所述之方案,方案中的Credential的格式为:RoleID+timeInterval+timeStamp+UIP+WebServerURL,并且门户把Credential以及门户利用其X.509证书对Credential签名的结果作为一个整体传送到资源站点。
CN 200510067872 2005-04-29 2005-04-29 一种安全的统一身份认证方案 Pending CN1855814A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN 200510067872 CN1855814A (zh) 2005-04-29 2005-04-29 一种安全的统一身份认证方案

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN 200510067872 CN1855814A (zh) 2005-04-29 2005-04-29 一种安全的统一身份认证方案

Publications (1)

Publication Number Publication Date
CN1855814A true CN1855814A (zh) 2006-11-01

Family

ID=37195686

Family Applications (1)

Application Number Title Priority Date Filing Date
CN 200510067872 Pending CN1855814A (zh) 2005-04-29 2005-04-29 一种安全的统一身份认证方案

Country Status (1)

Country Link
CN (1) CN1855814A (zh)

Cited By (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101694663A (zh) * 2009-10-20 2010-04-14 上海欧菲司健康管理咨询有限公司 一种一站式注册登录、全网认证系统
CN101719238A (zh) * 2009-11-30 2010-06-02 中国建设银行股份有限公司 一种统一身份管理、认证和授权的方法及系统
CN101902472A (zh) * 2010-07-09 2010-12-01 北京工业大学 可信网络中基于行为推送远程声明的方法
CN101207485B (zh) * 2007-08-15 2010-12-01 深圳市同洲电子股份有限公司 对用户进行统一身份安全认证的系统及其方法
WO2010148815A1 (zh) * 2009-12-21 2010-12-29 中兴通讯股份有限公司 一种WAPI终端访问Web应用站点的系统及方法
CN101610502B (zh) * 2009-07-23 2011-01-26 江苏鸿信系统集成有限公司 基于移动应用门户的不同业务系统移动信息化整合的方法
WO2011022950A1 (zh) * 2009-08-31 2011-03-03 中国移动通信集团公司 基于wlan接入认证的业务访问方法、系统及装置
CN102045398A (zh) * 2010-12-24 2011-05-04 杭州华三通信技术有限公司 一种基于Portal的分布式控制方法和设备
CN101335626B (zh) * 2008-08-06 2011-05-18 中国网通集团宽带业务应用国家工程实验室有限公司 多级认证方法和多级认证系统
CN101399726B (zh) * 2007-09-29 2011-09-07 中国电信股份有限公司 一种对无线局域网终端认证的方法
CN101399724B (zh) * 2007-09-28 2011-11-30 中国电信股份有限公司 面向用户的网络接入和业务使用的一次认证方法
CN102469075A (zh) * 2010-11-09 2012-05-23 中科正阳信息安全技术有限公司 一种基于web单点登录的集成认证方法
CN102638441A (zh) * 2011-02-15 2012-08-15 中兴通讯股份有限公司 在ims网络中实现单点登录的方法和系统
CN101605140B (zh) * 2009-07-16 2012-10-03 阿里巴巴集团控股有限公司 网络用户的身份核实认证系统和核实认证方法
CN101998406B (zh) * 2009-08-31 2013-01-16 中国移动通信集团公司 基于wlan接入认证的业务访问方法
CN101848198B (zh) * 2009-03-24 2013-03-20 英业达股份有限公司 授权共用系统及其方法
CN103546432A (zh) * 2012-07-12 2014-01-29 腾讯科技(深圳)有限公司 实现跨域跳转的方法和系统以及浏览器、域名服务器
CN103634399A (zh) * 2013-11-29 2014-03-12 北京奇虎科技有限公司 一种实现跨域数据传输的方法和装置
CN101998407B (zh) * 2009-08-31 2014-07-02 中国移动通信集团公司 基于wlan接入认证的业务访问方法
CN102006271B (zh) * 2008-09-02 2014-09-24 F2威尔股份有限公司 用于在线交易的ip地址安全多信道认证
CN104506518A (zh) * 2014-12-22 2015-04-08 中软信息系统工程有限公司 Mips平台网络系统访问控制的身份认证方法
CN104753895A (zh) * 2013-12-31 2015-07-01 北京新媒传信科技有限公司 一种父域站点下的多个子域站点的认证方法和系统
CN108241803A (zh) * 2016-12-23 2018-07-03 航天星图科技(北京)有限公司 一种异构系统的访问控制方法
CN108737350A (zh) * 2017-04-24 2018-11-02 腾讯科技(深圳)有限公司 一种信息处理方法及客户端
CN112202813A (zh) * 2020-10-29 2021-01-08 杭州迪普科技股份有限公司 网络访问方法及装置

Cited By (36)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101207485B (zh) * 2007-08-15 2010-12-01 深圳市同洲电子股份有限公司 对用户进行统一身份安全认证的系统及其方法
CN101399724B (zh) * 2007-09-28 2011-11-30 中国电信股份有限公司 面向用户的网络接入和业务使用的一次认证方法
CN101399726B (zh) * 2007-09-29 2011-09-07 中国电信股份有限公司 一种对无线局域网终端认证的方法
CN101335626B (zh) * 2008-08-06 2011-05-18 中国网通集团宽带业务应用国家工程实验室有限公司 多级认证方法和多级认证系统
CN102006271B (zh) * 2008-09-02 2014-09-24 F2威尔股份有限公司 用于在线交易的ip地址安全多信道认证
CN101848198B (zh) * 2009-03-24 2013-03-20 英业达股份有限公司 授权共用系统及其方法
CN101605140B (zh) * 2009-07-16 2012-10-03 阿里巴巴集团控股有限公司 网络用户的身份核实认证系统和核实认证方法
CN101610502B (zh) * 2009-07-23 2011-01-26 江苏鸿信系统集成有限公司 基于移动应用门户的不同业务系统移动信息化整合的方法
CN101998406B (zh) * 2009-08-31 2013-01-16 中国移动通信集团公司 基于wlan接入认证的业务访问方法
CN101998407B (zh) * 2009-08-31 2014-07-02 中国移动通信集团公司 基于wlan接入认证的业务访问方法
WO2011022950A1 (zh) * 2009-08-31 2011-03-03 中国移动通信集团公司 基于wlan接入认证的业务访问方法、系统及装置
RU2573212C2 (ru) * 2009-08-31 2016-01-20 Чайна Мобайл Коммуникейшенс Корпорейшн Способ доступа к службам, системам и устройствам на основе аутентификации доступа wlan
CN101694663A (zh) * 2009-10-20 2010-04-14 上海欧菲司健康管理咨询有限公司 一种一站式注册登录、全网认证系统
CN101719238A (zh) * 2009-11-30 2010-06-02 中国建设银行股份有限公司 一种统一身份管理、认证和授权的方法及系统
WO2010148815A1 (zh) * 2009-12-21 2010-12-29 中兴通讯股份有限公司 一种WAPI终端访问Web应用站点的系统及方法
CN101902472B (zh) * 2010-07-09 2013-04-24 北京工业大学 可信网络中基于行为推送远程声明的方法
CN101902472A (zh) * 2010-07-09 2010-12-01 北京工业大学 可信网络中基于行为推送远程声明的方法
CN102469075A (zh) * 2010-11-09 2012-05-23 中科正阳信息安全技术有限公司 一种基于web单点登录的集成认证方法
CN102045398B (zh) * 2010-12-24 2013-08-28 杭州华三通信技术有限公司 一种基于Portal的分布式控制方法和设备
CN102045398A (zh) * 2010-12-24 2011-05-04 杭州华三通信技术有限公司 一种基于Portal的分布式控制方法和设备
CN102638441A (zh) * 2011-02-15 2012-08-15 中兴通讯股份有限公司 在ims网络中实现单点登录的方法和系统
CN103546432A (zh) * 2012-07-12 2014-01-29 腾讯科技(深圳)有限公司 实现跨域跳转的方法和系统以及浏览器、域名服务器
US9686344B2 (en) 2012-07-12 2017-06-20 Tencent Technology (Shenzhen) Company Limited Method for implementing cross-domain jump, browser, and domain name server
CN103546432B (zh) * 2012-07-12 2015-12-16 腾讯科技(深圳)有限公司 实现跨域跳转的方法和系统以及浏览器、域名服务器
CN103634399B (zh) * 2013-11-29 2017-02-08 北京奇虎科技有限公司 一种实现跨域数据传输的方法和装置
CN103634399A (zh) * 2013-11-29 2014-03-12 北京奇虎科技有限公司 一种实现跨域数据传输的方法和装置
CN104753895B (zh) * 2013-12-31 2018-05-11 北京新媒传信科技有限公司 一种父域站点下的多个子域站点的认证方法和系统
CN104753895A (zh) * 2013-12-31 2015-07-01 北京新媒传信科技有限公司 一种父域站点下的多个子域站点的认证方法和系统
CN104506518A (zh) * 2014-12-22 2015-04-08 中软信息系统工程有限公司 Mips平台网络系统访问控制的身份认证方法
CN104506518B (zh) * 2014-12-22 2018-07-24 中软信息系统工程有限公司 Mips平台网络系统访问控制的身份认证方法
CN108241803A (zh) * 2016-12-23 2018-07-03 航天星图科技(北京)有限公司 一种异构系统的访问控制方法
CN108241803B (zh) * 2016-12-23 2019-03-08 中科星图股份有限公司 一种异构系统的访问控制方法
CN108737350A (zh) * 2017-04-24 2018-11-02 腾讯科技(深圳)有限公司 一种信息处理方法及客户端
CN108737350B (zh) * 2017-04-24 2020-10-16 腾讯科技(深圳)有限公司 一种信息处理方法及客户端
CN112202813A (zh) * 2020-10-29 2021-01-08 杭州迪普科技股份有限公司 网络访问方法及装置
CN112202813B (zh) * 2020-10-29 2023-04-18 杭州迪普科技股份有限公司 网络访问方法及装置

Similar Documents

Publication Publication Date Title
CN1855814A (zh) 一种安全的统一身份认证方案
US9686272B2 (en) Multi factor user authentication on multiple devices
US10523659B2 (en) Server authentication using multiple authentication chains
USRE45327E1 (en) Apparatus, systems and methods to provide authentication services to a legacy application
CN104580184B (zh) 互信应用系统间身份认证方法
CN1735011A (zh) 检测网格指令的方法和装置
CN1274105C (zh) 基于数字证书实现的动态口令认证方法
CN101902327A (zh) 一种实现单点登录的方法、设备及其系统
CN102035838B (zh) 一种基于平台身份的信任服务连接方法与信任服务系统
CN101064717A (zh) 信息系统或设备的安全防护系统及其工作方法
US10257171B2 (en) Server public key pinning by URL
CN103152179A (zh) 一种适用于多应用系统的统一身份认证方法
CN105430014B (zh) 一种单点登录方法及其系统
CN103716292A (zh) 一种跨域的单点登录的方法和设备
Bazaz et al. A review on single sign on enabling technologies and protocols
CN104683306A (zh) 一种安全可控的互联网实名认证机制
CN102546579A (zh) 一种提供系统资源的方法、装置及系统
Zhao et al. TrustCA: achieving certificate transparency through smart contract in blockchain platforms
CN2891503Y (zh) 信息系统或设备的安全防护系统
US20210037011A1 (en) Identity intermediary service authorization
WO2007115495A1 (fr) Procédé et appareil d'authentification de passerelle sur la base d'une clé publique combinée
Chi et al. Design and implementation of OpenStack cloud platform identity management scheme
Nie et al. SAML-based single sign-on for legacy system
Cordis et al. Considerations in mitigating Kerberos vulnerabilities for active directory
CN1859149A (zh) 流媒体业务服务的实现方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C02 Deemed withdrawal of patent application after publication (patent law 2001)
WD01 Invention patent application deemed withdrawn after publication