聯(lián)盟環(huán)境下跨域身份認(rèn)證模型研究.pdf

1、聯(lián)盟環(huán)境是由不同的相互信任的域共同構(gòu)成的資源共享平臺(tái)。在聯(lián)盟環(huán)境中，每個(gè)域都設(shè)置有認(rèn)證服務(wù)器，一方面對(duì)本域資源的安全訪問進(jìn)行管理，另一方面為用戶提供認(rèn)證服務(wù)。由于聯(lián)盟環(huán)境中的用戶經(jīng)常會(huì)漫游到不同的信任域中訪問資源，而目前通過產(chǎn)生臨時(shí)憑證實(shí)現(xiàn)跨域身份認(rèn)證的方法還存在著跨域能力弱、認(rèn)證負(fù)載不均衡、Cookie的安全隱患、聯(lián)盟域內(nèi)口令猜測(cè)攻擊、聯(lián)盟域內(nèi)重放攻擊等方面的安全漏洞，因此，跨域認(rèn)證和域內(nèi)用戶認(rèn)證的安全管理成為目前亟待解決的問題。本文

2、針對(duì)上述問題展開研究，主要包括：
　　1)首先，在聯(lián)盟環(huán)境下對(duì)域內(nèi)身份認(rèn)證和跨域身份認(rèn)證過程進(jìn)行安全性分析，以Kerberos為實(shí)例通過模擬攻擊過程進(jìn)行安全性驗(yàn)證，結(jié)果表明，當(dāng)用戶頻繁訪問跨域資源時(shí)，臨時(shí)憑證的產(chǎn)生、交換、跨域、驗(yàn)證的過程被頻繁調(diào)用，導(dǎo)致跨域效率降低，域間負(fù)載不均衡。傳統(tǒng)的認(rèn)證服務(wù)器本身的認(rèn)證機(jī)制不具有跨域性，需要借助額外的Servlet進(jìn)行跨域操作，通過協(xié)作完成復(fù)雜的認(rèn)證操作和令牌發(fā)放過程，從而增加認(rèn)證服務(wù)器負(fù)載

3、和安全風(fēng)險(xiǎn)，例如，Cookie的明文存放給用戶信息造成安全隱患，將用戶口令用對(duì)稱密鑰進(jìn)行加密的方法極易遭受口令猜測(cè)攻擊，用對(duì)稱密鑰加密票據(jù)也存在被破解的可能，在時(shí)鐘不同步的情況下，服務(wù)票據(jù)Tickets還存在重放攻擊的威脅。
　　2)針對(duì)聯(lián)盟環(huán)境下的跨域身份認(rèn)證，提出基于統(tǒng)一公鑰加密的多代理認(rèn)證機(jī)制和基于主動(dòng)式令牌群發(fā)機(jī)制的跨域聯(lián)盟身份認(rèn)證模型。首先，采用統(tǒng)一公鑰加密的多代理認(rèn)證機(jī)制，在每個(gè)域的認(rèn)證服務(wù)器中加入一個(gè)被分配了相同公私

4、鑰的Agent代理服務(wù)，負(fù)責(zé)域內(nèi)Cookie、跨域Cookie的寫入操作和跨域令牌的生成，并利用統(tǒng)一公鑰進(jìn)行信息加密傳輸，該方法一方面可以有效防止Cookie和令牌偽造，另一方面可以提高跨域訪問效率；其次，在Agent代理服務(wù)中采用令牌群發(fā)機(jī)制，將原先認(rèn)證模型的被動(dòng)請(qǐng)求的方式轉(zhuǎn)換為主動(dòng)發(fā)放的形式，只要用戶進(jìn)行了登錄操作，即將令牌發(fā)放給各個(gè)聯(lián)盟域的認(rèn)證服務(wù)器，該方法能夠有效提高用戶的跨域能力，極大縮短跨域操作時(shí)間，在跨域操作較多的聯(lián)盟系統(tǒng)

5、中，具有更高的應(yīng)用價(jià)值。
　　3)針對(duì)聯(lián)盟環(huán)境下域內(nèi)身份認(rèn)證，對(duì)傳統(tǒng)的Kerberos認(rèn)證協(xié)議進(jìn)行改進(jìn)，提出基于動(dòng)態(tài)口令和“一次一公鑰”的Kerberos域內(nèi)身份認(rèn)證模型。首先，在域內(nèi)處理跨域信息方面，利用多代理認(rèn)證機(jī)制解決認(rèn)證服務(wù)器不能跨域的問題，利用緩存機(jī)制管理認(rèn)證票據(jù)信息，使已登錄用戶通過快速通道完成認(rèn)證操作；其次，在域內(nèi)用戶認(rèn)證方面，利用Diffie-Hellman的密碼體制和動(dòng)態(tài)口令方式解決口令猜測(cè)攻擊的安全問題，同時(shí)采

6、用一次一公鑰的方法和基于ElGamal密碼體制的公鑰加密方法保證服務(wù)票據(jù)的安全，防止重放攻擊的發(fā)生。
　　4)對(duì)聯(lián)盟環(huán)境下的跨域身份認(rèn)證模型和域內(nèi)身份認(rèn)證模型進(jìn)行實(shí)驗(yàn)分析。首先針對(duì)Kerberos域內(nèi)身份認(rèn)證進(jìn)行安全檢測(cè)，在口令傳輸階段，通過對(duì)比改進(jìn)前后的用戶口令加密方法可知，利用動(dòng)態(tài)口令的方法更能保證用戶信息的安全；在服務(wù)票據(jù)傳輸階段，對(duì)認(rèn)證過程中的第五步數(shù)據(jù)傳輸進(jìn)行監(jiān)聽，在拷貝數(shù)據(jù)包后進(jìn)行重放攻擊，通過對(duì)比改進(jìn)前后的服務(wù)器應(yīng)答