基于SAML的跨域單點(diǎn)登錄與訪問控制方法研究.pdf

1、隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展和人們對(duì)電子辦公、電子商務(wù)等的依賴，信息安全問題顯得愈發(fā)重要。用戶每天需要登錄到許多不同的信息系統(tǒng)。每個(gè)系統(tǒng)都要求用戶遵循一定的安全策略，比如要求輸入用戶ID和口令。單點(diǎn)登錄就是指客戶端用戶在網(wǎng)絡(luò)中只需進(jìn)行一次身份認(rèn)證，便可以訪問其被授權(quán)范圍內(nèi)的所有網(wǎng)絡(luò)資源的身份認(rèn)證過程?？缬騿吸c(diǎn)登錄使不同的域之間的相互連通成為可能。本文研究的重點(diǎn)集中在如何改進(jìn)已有的跨域單點(diǎn)登錄與訪問控制方法來保證信息在互聯(lián)網(wǎng)中安全傳輸、如何整合現(xiàn)

2、有跨域的系統(tǒng)、如何對(duì)用戶的訪問請(qǐng)求進(jìn)行授權(quán)決策等。本文主要研究了跨域單點(diǎn)登錄系統(tǒng)中涉及的身份認(rèn)證和訪問控制問題。
　　本文介紹了單點(diǎn)登錄和訪問控制技術(shù)的研究現(xiàn)狀，對(duì)當(dāng)前比較主流的單點(diǎn)登錄和訪問控制解決方案進(jìn)行了分析和比較，并討論了實(shí)現(xiàn)跨域單點(diǎn)登錄時(shí)的技術(shù)難點(diǎn)。本文詳細(xì)介紹了SAML規(guī)范(Security Assertion Markup Language，安全斷言標(biāo)記語言)、SAML單點(diǎn)登錄和XACML(eXtensible Ac

3、cess Control Markup Language，可擴(kuò)展的訪問控制標(biāo)記語言)的背景技術(shù)，對(duì)SAML單點(diǎn)登錄方法提出了分析和改進(jìn)，并將SAML技術(shù)與XACML相結(jié)合設(shè)計(jì)了新的訪問控制模型。利用改進(jìn)后的方法，本文提出了一套基于SAML的跨域單點(diǎn)登錄和訪問控制系統(tǒng)解決方案，簡化和設(shè)計(jì)了用戶訪問外地域資源和服務(wù)的流程，對(duì)比現(xiàn)有的跨域單點(diǎn)登錄系統(tǒng)和訪問控制系統(tǒng)，具有較高的安全性和較高的效率。文中詳細(xì)介紹了新的系統(tǒng)的各個(gè)模塊設(shè)計(jì)，并進(jìn)行了實(shí)

4、現(xiàn)。最后對(duì)本文提出的系統(tǒng)運(yùn)行效果進(jìn)行了測試，并針對(duì)系統(tǒng)安全性進(jìn)行了分析。
　　本文的可能的創(chuàng)新點(diǎn)體現(xiàn)在以下幾個(gè)方面:
　　1.提出了改進(jìn)的基于SAML的單點(diǎn)登錄模型，此模型改變了原有SAML模型中各個(gè)模塊之間的消息交換流程，使單點(diǎn)登錄流程得到簡化，身份提供者與服務(wù)提供者交互效率的提升增加了單點(diǎn)登錄系統(tǒng)的運(yùn)行效率。認(rèn)證斷言只在身份提供者與服務(wù)提供者之間傳輸，且認(rèn)證斷言經(jīng)過頒布者簽名，這種操作防止了攻擊者在傳輸過程中篡改消息。<

5、br>　　2.提出了SAML與XACML相結(jié)合的訪問控制模型，在對(duì)Web服務(wù)的訪問控制中將SAML和XACML二者結(jié)合運(yùn)用。將SAML與SOAP消息綁定，使用SOAP消息的形式請(qǐng)求、傳輸、存儲(chǔ)、保護(hù)、XACML上下文信息。
　　3.提出了一種新的基于SAML的跨域單點(diǎn)登錄和訪問控制系統(tǒng)，并對(duì)該系統(tǒng)的認(rèn)證授權(quán)流程進(jìn)行了設(shè)計(jì)，對(duì)系統(tǒng)中設(shè)計(jì)的三個(gè)主要模塊進(jìn)行了詳細(xì)設(shè)計(jì)和實(shí)現(xiàn)。系統(tǒng)借用了Kerberos協(xié)議中票據(jù)的思想，使用安全Cooki