CN102111410B - 一种基于代理的单点登录方法及系统 - Google Patents

Abstract

本发明公开了一种基于代理的单点登录方法及系统，属于计算机信息技术领域。所述方法包括：用户U在应用服务器S注册并获得用户凭证C；U登录单点登录服务器L并发送凭证设置请求；L将用户标识，应用服务器标识和密文C’关联储存；U登录L并请求访问S；L与S交互，获取S颁发的令牌token及其对token的签名sig；L用自身私钥对token进行签名得到sig’，然后查找与U的标识和S的标识关联的密文C’，并将C’，token及sig’发送给用户；用户通过用户证书中的私钥解密C’得到C，并将单点登录服务器标识，C，token及sig’发送给S；S验证token及sig’，验证通过则继续验证用户凭证C，验证通过则允许用户登录。本发明还公开了与之对应的单点登录系统。

Description

一种基于代理的单点登录方法及系统

技术领域

本发明涉及单点登录技术，尤其涉及一种基于代理的单点登录方法和系统。属于计算机信息技术领域。

背景技术

近年来，随着信息技术和网络技术的发展以及各种网络应用服务的不断普及，用户每天需要对许多不同的应用系统进行访问，如网页、邮件、数据库等。每个系统都要求用户遵循一定的安全策略，比如要求输入用户ID和口令。随着用户访问系统数量的增加，用户通常需要记住多个口令，以便实现对不同的应用系统的访问。为了方便记忆，用户一般会简化口令，或者在多个系统中使用相同的口令，或者将口令记录下来，这些都大大降低了用户身份的安全性；另一方面，用户每访问一个应用资源都需要登录一次，也是对效率的一种浪费。因此，在市场上提出了这样的需求：网络用户可以基于最初访问网络时的一次身份验证，对所有被授权的网络资源进行无缝的访问。从而提高网络用户的工作效率，并提高网络的安全性。单点登录(Single Sign On)，简称为SSO，是目前比较流行的应用系统整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

目前，已经提出了一些比较成熟的单点登录技术和方法，其主要应用的单点登录技术可以分为以下几种：一种是基于本机代理的单点登录，在该方法中每个用户机器需要安装一个代理程序，用户使用该程序配置自己在多个应用系统中的相关信息，如用户名、口令等，然后由该程序代理用户完成对多个应用系统的单点登录。该方法虽然能够完成用户的单点登录需求，但是无法满足用户移动办公的需求，即用户在其他机器上还需安装代理程序和完成信息配置才能实现单点登录需求。一种是基于令牌或认证断言的单点登录方法，在该方法中，用户的认证由一个统一的认证中心来完成，认证中心完成对用户的认证后会向用户开据一个令牌或认证断言，每个应用系统都能对该令牌或断言进行身份验证，即用户可以使用该断言访问多个应用系统，从而实现了一次登录，多次访问的单点登录需求。该方法可以使用户在不同地点不同机器上实现统一的认证及单点登录，但是该方法需要所有的应用系统都信任认证中心，而且需要在每个应用系统中配置一个前端程序，完成对用户认证断言的验证，这样就使该系统的实施和扩展相对复杂。

以上两种方法，单点登录服务都会维护用户的用户名、口令等个人信息，若该服务被攻击，可能导致用户信息的泄露。另一种单点登录方法是用户先通过第一个应用系统验证，然后在第一个应用系统中点击第二个应用系统的链接，由第一个应用系统生成一个认证信息传给第二个应用系统由其进行认证并登陆，在该方法中各个应用系统之间必须建立相应的信任关系，这样导致多个应用系统之间形成一种紧耦合的关系，不易于进行扩展，而且如果一个应用系统被攻破则会威胁其他应用系统的安全。

此外，现在还出现了一些新兴的技术，也能完成类似的代理登录服务，如OAuth协议，该协议使用户授权给第三方以令牌，使其使用该令牌而无需使用用户的用户名与密码就可以申请获得该用户资源的授权，从而更好的保护了用户的个人信息，但是要完成单点登录服务，也需要在各个应用系统中统一令牌格式及验证方法等，同样不易于实施和扩展。

发明内容

为了克服现有技术中存在的问题，本发明提出了一种基于代理的单点登录方法及系统，为用户提供统一的信息资源认证访问入口，使用户只需一次登录认证就可以访问不同的应用系统。

在本发明中，单点登录服务器与多个应用服务器相对独立，新的应用服务器要加入单点登录服务域时只需在前端实现一个统一的与单点登录服务器之间的认证接口，而无需更改应用本身对用户的认证接口，易于扩展；应用服务器之间相对独立，彼此不需要信任关系，从而可以将多个异构的应用服务器整合到一个单点登录服务域中；用户的隐私信息如账号口令等被加密保存到单点登录服务器，加密由用户使用自己证书中的公钥在客户端中加密并传给单点登录服务器，本过程不需要建立保密信道。在进行单点登录时用户的账号口令密文由单点登录服务器传给客户端并由客户端中的插件调用用户证书私钥将密文解密，并传输给相应的应用系统由其进行认证。在整个过程中，服务器无法获取用户的账号口令的明文信息，即使服务器被敌手攻破或者传输的信息被敌手截获，敌手也无法获取用户的账号口令等信息，从而更好的保护了用户个人隐私。

为了实现本发明的目的，本发明采用如下技术方案：

一种基于代理的单点登录方法，其包括下列步骤：

a)用户U在应用服务器S处注册并获得用户凭证C；

b)用户U登录单点登录服务器L并发送凭证设置请求，所述设置请求包括应用服务器S的标识以及通过用户证书中的公钥对用户凭证C进行加密得到的密文C’；

c)单点登录服务器L将用户标识，应用服务器标识和密文C’关联储存；

d)用户U登录单点登录服务器L并请求访问应用服务器S；

e)单点登录服务器L与应用服务器S进行交互，执行认证协议，并获取应用服务器S颁发的令牌token及其对token的签名sig；

f)单点登录服务器L用自身私钥对token进行签名得到sig’，然后查找与用户U的标识和应用服务器S的标识关联的密文C’，并将C’，token及sig’发送给用户；

g)用户通过用户证书中的私钥解密C’得到C，并将单点登录服务器标识，C，token及sig’发送给应用服务器S；

h)应用服务器S验证token及sig’，验证通过则继续验证用户凭证C，验证通过则允许用户登录。

优选地，在步骤d)中，用户U在不同的终端上登录单点登录服务器L。

优选地，步骤e)所述的执行认证协议包括：

i.单点登录服务器L生成令牌请求信息Msg1并发送给应用服务器S；

其中Msg1＝(time_stamp，sso_name，server_name，sig1)，其中time_stamp表示单点登录服务器生成的时间戳，sso_name表示单点登录服务器的标识，server_name表示应用服务器的标识，sig1表示单点登录服务器使用自身私钥对上述信息的签名；

ii.应用服务器S用自身维护的单点登录服务器的公钥对sig1进行验证，然后将Msg2发送给单点登录服务器；

其中Msg2＝(token，sig2)，其中token＝(time_stamp，sso_name，server_name，auth_status)，auth_status表示认证状态，sig2表示对token的签名。

在此基础上，在步骤f)中，单点登录服务器将Msg3发送给用户，其中Msg3＝(credit，token，sso_name，sig3)，其中credit表示加密的用户凭证，sig3表示单点登录服务器使用自身私钥对sso_name和token的签名。

本发明还提供一种基于代理的单点登录系统，所述系统包括客户端和服务器端，所述服务器端包括单点登录服务器和位于多个应用系统上的服务器模块；

所述单点登录服务器负责对用户身份进行一次性认证，获取用户对各个应用系统的凭证信息，并对所述信息进行管理，同时与不同的应用系统进行交互，完成单点登录的功能；

所述应用系统负责对单点登录服务器进行认证，颁发信任状token，并接收登录请求完成用户凭证的验证。

优选地，所述单点登录服务器包括：单点登录认证模块SSOAM、信息管理模块IMM和代理登录模块PLM；SSOAM用于对用户进行一次性身份认证；IMM用于管理用户对各个应用系统的凭证信息；PLM用于和不同的应用系统交互并完成认证协议，获取应用系统颁发的token。

优选地，所述应用系统包括：应用系统认证服务模块ASASM和用户凭证验证模块UCVM；ASASM用于与单点登录系统进行交互，接受其请求并返回响应消息；UCVM用于用户凭证的验证。

和现有技术相比，本发明的优势主要体现在：

1.与传统的基于代理的单点登录方案相比，本发明中的单点登录服务位于可信第三方的服务器上，因此用户只需对每个账户进行一次配置就可以实现在任何终端上对所有应用的单点登录，从而进一步减少了用户的配置代价。此外，在整个单点登录过程中，单点登录服务器始终无法获取用户的账号口令等的明文信息，即使服务器被敌手攻破或者传输的信息被敌手截获，敌手也无法获取用户的账号口令等信息，用户可以在不可信的终端上以及不可信的信道上使用该服务而不必担心用户凭证的泄露，更好的保护了用户个人隐私，从而拓展了该服务的使用范围。

2.本发明通过规定应用服务应实现的单点登录接口，使得单点登录服务可以在统一的安全协议下代理用户进行认证，提高了单点登录服务的复用性，并保证其安全性的统一实施。上述单点登录接口与应用的实现方式无关，当新的应用服务接入到单点登录服务域中时，该应用服务只需在前端实现一个统一的单点登录认证接口，后台的对用户身份等的验证不需要进行修改，因此其配置更为简便，扩展更加容易，对已有应用系统的改动更小，更适合已建成系统的升级改造。

3.本发明中通过在单点登录服务器与应用服务器之间执行一套标准的认证协议，使整个系统在运行时能够抵御中间人攻击、重放攻击等常见攻击。

4.本发明中各个应用服务器之间相对独立，彼此不需要信任关系，也互不依赖，从而可以将多个异构的应用服务器整合到一个单点登录服务域中。

5.功能全面，适用范围广。本发明提供了对资源共享访问中需要的认证凭证管理、用户认证、单点登录等多个功能的解决方法。其实现不影响已有的系统功能实施，且与应用的实施方式无关，因此能够充分满足实际环境下各种应用的需求。

附图说明

图1表示本发明实施例单点登录方法中各个主体之间的关系示意图。

图2表示本发明实施例单点登录系统的结构组成示意图。

图3表示本发明实施例的用户凭证配置流程示意图。

图4表示本发明实施例的单点登录流程示意图。

具体实施方式

下面通过具体实施例对本发明作更详细的说明。

一.基于代理的单点登录方法

本实施例的单点登录方法包括认证凭证设置和单点登录两个过程，分别对应终端用户、单点登录服务器与应用服务器之间的关系。图1给出了上述三者之间的关系示意图，下面结合该附图说明本实施例的单点登录方法。

首先，用户U需要先执行认证凭证设置过程，该过程包含下列步骤：

a.用户U首先在应用服务器S处进行注册，获取用户凭证C。

b.用户访问单点登录服务器L，单点登录服务器对用户进行认证。

c.用户向单点登录服务器发送凭证设置请求，请求中包含应用服务器S的标识，以及用户凭证C，该凭证在发送时由浏览器中的插件调用用户证书中的公钥进行加密，即将C加密为C’。

d.单点登录服务器L与应用服务器S交互，验证该应用服务器S为其支持的单点登录服务域中的合法应用。

e.单点登录服务器L将用户凭证密文C’与用户标识和应用服务器标识关联，并存储到数据库中。

其次，本实施例的单点登录过程包括以下步骤：

a.用户U通过浏览器访问单点登录服务器。

b.单点登录服务器对终端用户进行认证。

c.用户向单点登录服务器发送访问请求，请求中包含应用服务器S的标识。

d.单点登录服务器与应用服务器S交互，执行认证协议，并获取应用服务器颁发的令牌token及其对token的签名sig。

e.单点登录服务器验证token的签名sig，若验证通过，则使用自身私钥对该token进行签名sig’，然后查找数据库获取与用户U的标识、应用服务器S的标识关联的用户凭证密文C’，并将该密文C’、token及sig’一同发送给用户。

f.用户客户端浏览器中的插件将获取的凭证密文C’使用用户证书中的私钥解密，然后将解密后的凭证C、单点登录服务器的标识以及从单点登录服务器获取的token及其签名sig’一同发送给相应的应用服务器S。

g.应用服务器S接收到上述信息后，先验证token及其签名sig’，若验证通过，则验证用户凭证信息C，若验证通过，则允许用户登录，跳转到应用服务页面。

在上述方法中，由于单点登录服务器是独立的web服务，因此用户可以通过其在单点登录服务器处注册的用户账户在不同的终端上实现单点登录功能。而且服务器处长期保存的用户凭证是加密后的结果，只有在访问时才使用用户的私钥对其进行解密生成原始的认证凭证，因此即使单点登录服务器上的凭证遭到泄露，也依然不会影响到用户在应用服务处获取的原始凭证的安全，从而在保证原有安全性的同时实现了跨平台的单点登录功能。

此外，在上述方法中，为了与一般的认证过程区分，使得单点登录服务器可以使用代理认证请求实现安全的单点登录，应用服务器与单点登录服务器间的认证协议需要执行以下操作：

a.单点登录服务器在收到用户的单点登录请求时，生成令牌请求信息并发送给相应的应用服务器，其消息内容包括：

Msg 1＝(time_stamp，sso_name，server_name，sig 1)

time_stamp：单点登录服务器生成的时间戳。

sso_name：单点登录服务器自身标识。

server_name：需要访问的应用服务器标识。

sig1：单点登录服务器使用自身私钥对上述信息的签名

b.应用服务根据收到的单点登录服务的令牌请求信息，查找自身维护的该单点登录服务的公钥证书，并使用其公钥对收到的签名sig1进行验证。然后生成令牌token及其签名sig2并发送给单点登录服务器，其消息内容包括：

Msg2＝(token，sig2)

sig2：应用服务器使用自身私钥对上述信息的签名。

其中token内容包括：

token＝(time_stamp，sso_name，server_name，auth_status)

time_stamp：应用服务器生成的时间戳，表示该令牌在多久之后失效。

sso_name：单点登录服务器标识。

server_name：应用服务器自身的标识。

auth_status：认证状态，表示是否认证过。

在上述步骤a，b的基础上，后续操作按下列步骤进行：

c.单点登录服务器根据收到的应用服务器标识server_name，查找自身维护的相应的应用服务器的公钥证书，并使用其公钥证书对收到的令牌token及其签名进行验证，若验证通过则生成响应消息Msg3发送给用户，其消息内容包括：

Msg3＝(credit，token，sso_name，sig3)

credit：加密的用户凭证。

token：应用服务器发送给单点登录服务器的令牌，由单点登录服务器转发给用户。

sso_name：单点登录服务器自身的标识。

Sig3：单点登录服务器使用自身私钥对sso_name和token的签名。

在本步骤中，认证请求的内容可以根据实际情况和用户认证凭证的类型确定，但其要足够保证该请求中包含的内容可以足够应用服务完成对单点登录服务的认证，并且能够抵御中间人攻击、重放攻击等常见攻击。此外，应保证任何敌手无法通过该请求获取用户的认证凭证或对其内容进行篡改。对于公钥证书形式的认证凭证，可以使用SSL协议建立安全信道或采用其他基于公钥密码学的认证协议；对于用户名/口令形式的认证凭证，则可以使用远程口令协议实现上述目标。

d.用户将凭证密文解密后，将凭证明文credit、单点登录服务器标识sso_name、获得的token及其签名sig发送给相应的应用服务器。

应用服务器接收到用户上述单点登录请求后，应用服务器先根据单点登录服务器标识sso_name查找自身维护的该单点登录服务的公钥证书，并使用其公钥对收到的签名sig进行验证，若验证通过，则验证token信息，最后验证用户凭证信息。

二.基于代理的单点登录系统(Proxy Based Single Sign On System，PBSSOS)

下面结合图2说明本实施例的基于代理的单点登录系统，该系统和上述基于代理的单点登录方法相应。

PBSSOS系统采用B/S结构，客户端只需使用浏览器与服务器端进行交互，服务器端由单点登录服务器和位于多个应用系统上的服务器模块组成，这些应用系统即用户希望单点登录的多个应用系统。

单点登录服务器主要负责对用户身份进行一次性认证，获取用户对各个应用系统的凭证信息，如用户名口令等，并对这些信息进行管理，同时与不同的应用系统交互，完成单点登录的功能。

应用系统主要负责对单点登录服务器进行认证，颁发信任状token，并接收登录请求完成用户凭证的验证。

单点登录服务器其主要功能部件包括：单点登录认证模块(SSO Authentication Module，SSOAM)、信息管理模块(Information Management Module，IMM)和代理登录模块(ProxyLogin Module，PLM)。应用系统的主要功能部件包括：应用系统认证服务模块(ApplicationSystem Authentication Service Module，ASASM)和用户凭证验证模块(User Credence VerifyModule，UCVM)。

SSOAM主要用于单点登录服务器对用户进行身份认证，用户只需经过这一次身份认证即可使用单点登录服务。用户在访问单点登录服务器时，首先跳转到认证页面，由SSOAM部件对用户进行身份认证，若用户通过认证则浏览器跳转到单点登录服务页面。本系统为用户提供多种认证机制：用户名口令、基于证书及基于身份的认证，用户可根据需要选择自己的认证方式。

IMM主要用于管理用户对各个应用系统的凭证信息(用户名、口令等)。用户在进行信息配置时，选择相应的应用系统并配置相应的凭证，其中凭证信息由用户浏览器中的插件调用用户证书中的公钥进行加密，并将加密后的信息发送到服务器端，IMM部件接收到该信息后，将该信息与用户身份、应用系统标识等关联并存储到数据库中。用户在登录不同的应用系统时，IMM将相应的信息取出并发送到客户端浏览器，由浏览器中的插件调用用户证书中的私钥将其解密。

PLM主要用于与不同的应用系统交互，与应用系统完成一些认证协议，并获取应用系统颁发的token。PLM部件在进行单点登录时，先向相应的应用服务器发送TOKEN_REQ请求获取一个凭证token，请求中包含应用服务器标识、单点登录服务器标识、时间戳以及对上述信息的签名等。

ASASM主要用于与单点登录系统及交互，接受其请求并返回响应消息。PLM发出TOKEN_REQ请求消息，ASASM验证该消息，并生成token返回给PLM。在用户发送单点登录请求时，也会把获取到的token放在请求中，ASASM收到该请求先验证token，若验证通过，则将请求转给UCVM模块。ASASM模块是一个可选模块，目的是实现安全的单点登录服务，使整个单点登录过程能够抵抗重放、中间人等攻击。

UCVM主要用于用户凭证的验证，若凭证验证通过，则UCVM跳转到以该用户账号登录的服务页面，如果应用服务器已实现了该部分，则无需对该部分进行重写，只需在应用服务器上实现ASASM模块即可。

下面结合图3描述上述单点登录系统的用户凭证配置流程：

1.用户通过客户端浏览器向单点登录服务器发出请求，单点登录服务器接受请求后调用SSOAM模块对用户身份进行认证，认证方式包括：用户名口令、证书和基于身份认证。

2.如果认证通过，SSOAM模块将用户请求转发给PLM模块。

3.PLM模块开始与用户交互，用户将应用系统服务器标识及用户在该应用注册的用户凭证发送给PLM模块，该凭证在发送时由浏览器中的插件调用用户证书中的公钥进行加密。

4.PLM模块根据获取到的应用服务器的标识，向该服务器发送请求，请求中包括单点登录服务器标识、应用服务器标识、时间戳以及对上述信息的签名，应用服务器接受该请求后调用ASASM模块对上述信息中的签名进行验证，若验证通过，ASASM模块生成一个token及其签名，将该token状态设置为已认证，然后将该token及其签名发送给单点登录服务器的PLM模块，PLM对该token及其签名进行验证，若验证通过，则将用户凭证密文、应用服务器标识以及用户身份信息发送给IMM模块。

5.IMM模块接收到上述信息后，将用户凭证密文、用户身份以及应用服务器标识关联存储到数据库中。

至此，用户凭证配置结束。

下面结合图4描述单点登录流程。

1.用户在某个客户端上通过客户端浏览器向单点登录服务器发出请求，单点登录服务器接受请求后调用SSOAM模块对用户身份进行认证，认证方式包括：用户名口令、证书和基于身份认证。

2.如果认证通过，SSOAM模块将用户请求转发给PLM模块，PLM模块开始与用户交互，用户将想要登录的应用系统服务器标识发送给PLM。

3.PLM模块根据获取到的应用服务器的标识，向该服务器发送请求，请求中包括单点登录服务器标识、应用服务器标识、时间戳以及上述信息的签名，应用服务器接受该请求后调用ASASM模块对上述信息中的签名进行验证，若验证通过，ASASM模块生成一个token及其签名，将该token状态设置为已认证，然后将该token及其签名发送给单点登录服务器的PLM模块。

4.PLM验证上述token及其签名，若验证通过，则使用自身私钥对token进行签名然后将用户身份、应用服务器标识发送给IMM模块，IMM根据获取的信息在数据库中查询相应的用户凭证密文，并将该信息发送给PLM模块。

5.PLM将单点登录服务器标识、用户凭证密文、token以及自身私钥对token的签名发送给用户浏览器。

6.用户浏览器中的插件调用用户证书中的私钥对获取的用户凭证密文解密，然后将解密的凭证与token及其签名一同发送给应用服务器。

7.应用服务器接受上述请求后，ASASM模块先验证token及其签名，若验证通过，则将用户凭证发送给UCVM模块，UCVM模块验证该凭证，若验证通过，则跳转到应用服务界面。

至此，单点登录服务过程结束。

Claims (4)

1.一种基于代理的单点登录方法，其包括下列步骤：

a)用户U在应用服务器S处注册并获得用户凭证C；

b)用户U登录单点登录服务器L并发送凭证设置请求，所述设置请求包括应用服务器S的标识以及通过用户证书中的公钥对用户凭证C进行加密得到的密文C’；

c)单点登录服务器L将用户标识，应用服务器标识和密文C’关联储存；

d)用户U登录单点登录服务器L并请求访问应用服务器S；

e)单点登录服务器L与应用服务器S进行交互，执行认证协议，并获取应用服务器S颁发的令牌token及其对token的签名sig；

f)单点登录服务器L用自身私钥对token进行签名得到sig’，然后查找与用户U的标识和应用服务器S的标识关联的密文C’，并将C’、token及sig’发送给用户；

g)用户通过用户证书中的私钥解密C’得到C，并将单点登录服务器标识、C、token及sig’发送给应用服务器S；

h)应用服务器S验证token及sig’，验证通过则继续验证用户凭证C，验证通过则允许用户登录。

2.如权利要求1所述的基于代理的单点登录方法，其特征在于，在步骤d)中，用户U在不同的终端上登录单点登录服务器L。

3.如权利要求1所述的基于代理的单点登录方法，其特征在于，步骤e)所述的执行认证协议包括：

i.单点登录服务器L生成令牌请求信息Msg1并发送给应用服务器S；

其中Msg1=(time_stamp，sso_name，server_name，sig1)，其中time_stamp表示单点登录服务器生成的时间戳，sso_name表示单点登录服务器的标识，server_name表示应用服务器的标识，sig1表示单点登录服务器使用自身私钥对上述信息的签名；

ii.应用服务器S用自身维护的单点登录服务器的公钥对sig1进行验证，然后将Msg2发送给单点登录服务器；

其中Msg2=(token，sig2)，其中token=(time_stamp，sso_name，server_name，auth_status)，auth_status表示认证状态，sig2表示对token的签名。

4.如权利要求3所述的基于代理的单点登录方法，其特征在于，在步骤f)中，单点登录服务器将Msg3发送给用户，其中Msg3=(credit，token，sso_name，sig3)，其中credit表示加密的用户凭证，sig3表示单点登录服务器使用自身私钥对sso_name和token的签名。

Images