SSO单点登录简析


一、身份认证

身份是一切信任的基础。基于身份的信任思维就是不信任企业内部和外部的任何人、任何系统,需要基于身份认证和授权,执行以身份为中心的访问控制和资产保护。

现实应用系统的业务流程中,既有人机交互,也有机机交互,所以,身份认证涉及到:

1、对人的身份认证。

2、后台间身份认证。

3、对设备的身份认证。

最最常见的认证流程示意如下,用户输入正确地用户名和密码获得认证服务颁发的Ticket,再携带Ticket去访问应用系统。


Web应用系统采用B/S架构,http作为通信协议。http是无状态协议,浏览器的每一次请求,服务器会独立处理,不与之前或之后的请求产生关联。

会话机制:浏览器第一次请求服务器,服务器创建会话,将会话的id作为响应的一部分发送给浏览器,浏览器存储会话id,并在后续第二次和第三次请求中带上会话id,服务器取得请求中的会话id就知道是不是同一个用户了。基于会话机制,服务器就可以判断合法用户的登录状态了。

二、多系统身份认证

上一节单系统的身份认证中,cookie携带会话id在浏览器与服务器之间维护会话状态。

如今企业的应用日趋复杂,单系统无法满足业务需求,多系统就涉及到用户需要在不同系统之间反复切换登录的问题。

如果多系统能够共享cookie,用户就可以无需重复登录切换应用系统。

cookie受限于cookie的域(网站域名),浏览器发送http请求时会自动携带与该域匹配的cookie,而不是所有cookie。

解决办法之一就是使用顶级域名共享cookie,但又带来部署限制、技术限制、以及安全问题。

SSO就是为了解决多系统身份认证的问题的一种技术。

SSO需要一个独立的认证中心,认证中心接受用户名密码等信息,其他系统接受认证中心的间接授权。

间接授权通过令牌实现,SSO认证中心验证用户的用户名密码没问题,创建授权令牌。

授权令牌作为参数发送给各个子系统,拿到令牌即得到授权,可以创建局部会话,实现系统登录。


如上图:应用系统应该尽可能使用统一的SSO,避免自行设计身份认证模块。好处非常明显:

1、避免各个业务自行重复建设,简化业务工作量。

2、强化隐私保护,避免隐私(口令、双因子保护口令、生物特征等)因分散存储、保护不当而泄露。

3、内部SSO系统,可与HR系统关联,离职销户。

实际应用中有一种方式,应用系统自行收集口令,然后后台进行SSO认证,这样存在口令被内部人员收集泄露的风险。

我们推荐与SSO集成的时候,用户直接到SSO系统及界面执行身份认证。

如果企业具有统一接入的应用网关,可以直接在应用网关这里检测是否经过身份认证。

接入网关统一与SSO集成,各个产品可以聚焦在业务上。

三、有关协议简介

1、OIDC(OpenID Connect)

OpenID Connect 1.0 是 OAuth 2.0 协议之上的一个简单的身份层。

OIDC允许客户端根据授权服务器执行的身份验证来验证最终用户的身份,并以可互操作和类似 REST 的方式获取有关最终用户的基本配置文件信息。

OIDC允许所有类型的客户端(Web客户端、移动客户端、 JavaScript 客户端)请求和接收有关经过身份验证的会话和最终用户的信息。

SSO 包括统一登录和统一登出这两部分。基于 OIDC 实现的 SSO 主要是利用 OIDC 服务作为用户认证中心的统一入口,使所有需要登录的地方都交给 OIDC 服务来做。简单来说就是把需要进行用户认证的部分都剥离出来交给 OIDC 认证中心来完成。

2、SAML(Security Assertion Markup Language)

在SAML协议中,一旦用户身份被主网站(身份鉴别服务器,Identity Provider,IDP)认证过后,该用户再去访问其他在主站注册过的应用(服务提供者,Service Provider,SP)时,都可以直接登录,而不用再输入身份和口令。

SAML在各种单点登录场景中被广泛使用。比如传统企业利用SAML通过企业区域网内的身份认证访问公有云上的资源。或者利用SAML将内部办公系统与外购SaaS服务的身份体系打通。

3、CAS(Central Authentication Service)

CAS,中央认证服务,一种独立开放指令协议。CAS 是 耶鲁大学(Yale University)发起的一个开源项目,旨在为 Web 应用系统提供一种可靠的单点登录方法。CAS包含一个一个独立部署的web应用CAS Server,和一个与受保护客户端应用一起部署的CAS Client,以Filter方式保护受保护的资源。对于访问受保护资源的每个 Web 请求,CAS Client 会分析该请求的 Http 请求中是否包含 Service Ticket,如果没有,则说明当前用户尚未登录,于是将请求重定向到指定好的 CAS Server 登录地址,并传递 Service (也就是要访问的目的资源地址),以便登录成功过后转回该地址。

所有与 CAS 的交互均采用 SSL 协议,CAS Client 与 CAS Server 之间进行 Ticket 验证的过程对于用户是透明的。

上海安当技术有限公司致力于开发身份认证、数据加密类产品,依托集中化、跨平台的密钥管理系统,专注于为金融、政府、企业等客户提供更加安全,便捷的身份认证管理和数据加密解决方案。公司主要产品及服务简称为4S:身份认证服务平台(Authentication Service Platform),密钥管理平台(Key Safe Platform),硬件加密机(Hardware Security Module),数据加密集成服务(Data Security Integration)。

推荐阅读更多精彩内容