刘日初 蒋嵘 张以皓

1解放军理工大学指挥自动化学院 江苏 210007 2解放军后勤指挥学院 北京 100858

0 引言

本文分析了当前主流SSO系统及其存在的问题，以面向服务的思想为基本出发点，借鉴Kerberos认证协议的用户认证方式，提出一种基于 SOA的集中式用户认证授权服务架构，解决了现有信息系统中用户认证繁琐冗余，可管理性差，存在安全缺陷等问题。针对当前信息化发展现状和未来发展趋势，实现了支持C/S和B/S架构的单点登录系统，该系统可在异构的信息系统中实现应用系统单点登录，简化了用户的登录过程，同时提供集中和便捷的身份管理、安全的认证机制、权限管理和审计，以满足对信息系统使用的便捷性和安全管理的需求。

1 主流身份认证技术及其问题

目前单点登录方案主要包括基于中间人、基于代理以及基于网关等几类，其中最具影响力的是Kerberos 认证协议。Kerberos目前已发展出多个版本，其功能在不断得到发展完善，但也还存在一些局限性，主要表现为使用共享密钥为认证依据，在密钥分发与管理方面存在困难以及口令和会话密钥难以安全存放在计算机系统中。

随着PKI技术的发展，又出现了基于证书的单点登录方案。证书机制沿用了PKI思想，通过可信第三方发放的证书实现用户和服务器之间的相互认证。基于证书的单点登录系统由证书授权(certificate authority，CA)、用户和服务器3个部分组成。其中，CA主要负责用户和服务器的证书分发、更新和用户权限的管理；……