聯(lián)盟環(huán)境下跨域身份認證模型研究.pdf

1、聯(lián)盟環(huán)境是由不同的相互信任的域共同構(gòu)成的資源共享平臺。在聯(lián)盟環(huán)境中，每個域都設(shè)置有認證服務(wù)器，一方面對本域資源的安全訪問進行管理，另一方面為用戶提供認證服務(wù)。由于聯(lián)盟環(huán)境中的用戶經(jīng)常會漫游到不同的信任域中訪問資源，而目前通過產(chǎn)生臨時憑證實現(xiàn)跨域身份認證的方法還存在著跨域能力弱、認證負載不均衡、Cookie的安全隱患、聯(lián)盟域內(nèi)口令猜測攻擊、聯(lián)盟域內(nèi)重放攻擊等方面的安全漏洞，因此，跨域認證和域內(nèi)用戶認證的安全管理成為目前亟待解決的問題。本文

2、針對上述問題展開研究，主要包括：
　　1)首先，在聯(lián)盟環(huán)境下對域內(nèi)身份認證和跨域身份認證過程進行安全性分析，以Kerberos為實例通過模擬攻擊過程進行安全性驗證，結(jié)果表明，當(dāng)用戶頻繁訪問跨域資源時，臨時憑證的產(chǎn)生、交換、跨域、驗證的過程被頻繁調(diào)用，導(dǎo)致跨域效率降低，域間負載不均衡。傳統(tǒng)的認證服務(wù)器本身的認證機制不具有跨域性，需要借助額外的Servlet進行跨域操作，通過協(xié)作完成復(fù)雜的認證操作和令牌發(fā)放過程，從而增加認證服務(wù)器負載

3、和安全風(fēng)險，例如，Cookie的明文存放給用戶信息造成安全隱患，將用戶口令用對稱密鑰進行加密的方法極易遭受口令猜測攻擊，用對稱密鑰加密票據(jù)也存在被破解的可能，在時鐘不同步的情況下，服務(wù)票據(jù)Tickets還存在重放攻擊的威脅。
　　2)針對聯(lián)盟環(huán)境下的跨域身份認證，提出基于統(tǒng)一公鑰加密的多代理認證機制和基于主動式令牌群發(fā)機制的跨域聯(lián)盟身份認證模型。首先，采用統(tǒng)一公鑰加密的多代理認證機制，在每個域的認證服務(wù)器中加入一個被分配了相同公私

4、鑰的Agent代理服務(wù)，負責(zé)域內(nèi)Cookie、跨域Cookie的寫入操作和跨域令牌的生成，并利用統(tǒng)一公鑰進行信息加密傳輸，該方法一方面可以有效防止Cookie和令牌偽造，另一方面可以提高跨域訪問效率；其次，在Agent代理服務(wù)中采用令牌群發(fā)機制，將原先認證模型的被動請求的方式轉(zhuǎn)換為主動發(fā)放的形式，只要用戶進行了登錄操作，即將令牌發(fā)放給各個聯(lián)盟域的認證服務(wù)器，該方法能夠有效提高用戶的跨域能力，極大縮短跨域操作時間，在跨域操作較多的聯(lián)盟系統(tǒng)

5、中，具有更高的應(yīng)用價值。
　　3)針對聯(lián)盟環(huán)境下域內(nèi)身份認證，對傳統(tǒng)的Kerberos認證協(xié)議進行改進，提出基于動態(tài)口令和“一次一公鑰”的Kerberos域內(nèi)身份認證模型。首先，在域內(nèi)處理跨域信息方面，利用多代理認證機制解決認證服務(wù)器不能跨域的問題，利用緩存機制管理認證票據(jù)信息，使已登錄用戶通過快速通道完成認證操作；其次，在域內(nèi)用戶認證方面，利用Diffie-Hellman的密碼體制和動態(tài)口令方式解決口令猜測攻擊的安全問題，同時采

6、用一次一公鑰的方法和基于ElGamal密碼體制的公鑰加密方法保證服務(wù)票據(jù)的安全，防止重放攻擊的發(fā)生。
　　4)對聯(lián)盟環(huán)境下的跨域身份認證模型和域內(nèi)身份認證模型進行實驗分析。首先針對Kerberos域內(nèi)身份認證進行安全檢測，在口令傳輸階段，通過對比改進前后的用戶口令加密方法可知，利用動態(tài)口令的方法更能保證用戶信息的安全；在服務(wù)票據(jù)傳輸階段，對認證過程中的第五步數(shù)據(jù)傳輸進行監(jiān)聽，在拷貝數(shù)據(jù)包后進行重放攻擊，通過對比改進前后的服務(wù)器應(yīng)答