基于SAML的跨域单点登录与访问控制方法研究

摘要

随着互联网技术的发展和人们对电子办公、电子商务等的依赖，信息安全问题显得愈发重要。用户每天需要登录到许多不同的信息系统。每个系统都要求用户遵循一定的安全策略，比如要求输入用户ID和口令。单点登录就是指客户端用户在网络中只需进行一次身份认证，便可以访问其被授权范围内的所有网络资源的身份认证过程。跨域单点登录使不同的域之间的相互连通成为可能。本文研究的重点集中在如何改进已有的跨域单点登录与访问控制方法来保证信息在互联网中安全传输、如何整合现有跨域的系统、如何对用户的访问请求进行授权决策等。本文主要研究了跨域单点登录系统中涉及的身份认证和访问控制问题。
　　本文介绍了单点登录和访问控制技术的研究现状，对当前比较主流的单点登录和访问控制解决方案进行了分析和比较，并讨论了实现跨域单点登录时的技术难点。本文详细介绍了SAML规范(Security Assertion Markup Language，安全断言标记语言)、SAML单点登录和XACML(eXtensible Access Control Markup Language，可扩展的访问控制标记语言)的背景技术，对SAML单点登录方法提出了分析和改进，并将SAML技术与XACML相结合设计了新的访问控制模型。利用改进后的方法，本文提出了一套基于SAML的跨域单点登录和访问控制系统解决方案，简化和设计了用户访问外地域资源和服务的流程，对比现有的跨域单点登录系统和访问控制系统，具有较高的安全性和较高的效率。文中详细介绍了新的系统的各个模块设计，并进行了实现。最后对本文提出的系统运行效果进行了测试，并针对系统安全性进行了分析。
　　本文的可能的创新点体现在以下几个方面:
　　1.提出了改进的基于SAML的单点登录模型，此模型改变了原有SAML模型中各个模块之间的消息交换流程，使单点登录流程得到简化，身份提供者与服务提供者交互效率的提升增加了单点登录系统的运行效率。认证断言只在身份提供者与服务提供者之间传输，且认证断言经过颁布者签名，这种操作防止了攻击者在传输过程中篡改消息。
　　2.提出了SAML与XACML相结合的访问控制模型，在对Web服务的访问控制中将SAML和XACML二者结合运用。将SAML与SOAP消息绑定，使用SOAP消息的形式请求、传输、存储、保护、XACML上下文信息。
　　3.提出了一种新的基于SAML的跨域单点登录和访问控制系统，并对该系统的认证授权流程进行了设计，对系统中设计的三个主要模块进行了详细设计和实现。系统借用了Kerberos协议中票据的思想，使用安全Cookie存储票据来实现安全跨域单点登录，并使用SAML交换认证和鉴权信息。

目录

声明

摘要

1 绪论

1．1 研究背景和意义

1．2 国内外研究现状

1．2．1 单点登录研究现状

1．2．2 访问控制研究现状

1．3 课题的来源及论文的主要内容

2 单点登录与访问控制技术分析

2．1 主流的单点登录模型

2．1．1 基于经纪人的单点登录模型

2．1．2 基于代理的单点登录模型

2．1．3 基于口令的单点登录模型

2．1．4 基于网关的单点登录模型

2．1．5 四种SSO模型的比较

2．2 跨域单点登录

2．2．1 自由联盟计划

2．2．2 Web服务联邦语言

2．2．3 SAML安全声明标记语言

2．3 SAML安全断言标记语言

2．3．1 SAML的单点登录模型

2．3．2 SAML规范

2．4 XACML可扩展的访问控制标记语言

2．4．1 数据流模型

2．4．2 XACML上下文

2．4．3 策略描述语言

2．5 本章小结

3 单点登录与访问控制方法改进

3．1 SAML单点登录模型的改进

3．1．1 SAML单点登录-SP拉模式

3．1．2 SAML单点登录-IDP推模式

3．1．3 改进的基于SAML的单点登录模型

3．2 基于XACML与SAML的访问控制模型

3．3 本章小结

4 基于SAML的跨域单点登录与访问控制系统的设计

4．1 系统设计概述

4．1．1 需求分析

4．1．2 设计思路

4．2 整体系统构架

4．2．1 跨域单点登录模型

4．2．2 跨域访问控制模型

4．3 跨域认证流程

4．3．1 用户初次登录

4．3．2 用户再次登录

4．3．3 用户注销

4．4 系统功能模块设计与实现

4．4．1 票据设计

4．4．2 身份提供者IDP的设计与实现

4．4．3 服务提供者SP的设计与实现

4．4．4 客户端设计

4．4．5 安全传输模块的设计

4．5 本章小结

5 系统测试

5．1 系统测试环境

5．2 跨域单点登录的测试

5．3 访问控制部分的测试

5．4 性能测试

5．5 安全性分析

5．6 本章小结

6 总结与展望

6．1 总结

6．2 展望

致谢

参考文献

攻读硕士学位期间参与的科学研究情况

攻读硕士学位期间取得的研究成果