淺談單點(diǎn)登錄和認(rèn)證能力開放

淺談單點(diǎn)登錄和認(rèn)證能力開放2023年03月24日背景1、數(shù)據(jù)冗余、不一致性造成管理工作加大。2、平安隱患。3、系統(tǒng)關(guān)聯(lián)越來越密切。用戶每天平均

16

分鐘花在身份驗(yàn)證任務(wù)上

-

資料來源：IDS頻繁的

IT

用戶平均有

21

個密碼

-

資料來源：NTAMonitorPasswordSurvey49%

的人寫下了其密碼，而

67%

的人很少改變它們每

79

秒出現(xiàn)一起身份被竊事件

-

資料來源：NationalSmallBusinessTravelAssoc全球欺騙損失每年約

12B-

資料來源：CommFraudControlAssoc到

2007

年，身份管理市場將成倍增長至

$4.5B-

資料來源：IDS現(xiàn)有SSO解決方案基于cookie實(shí)現(xiàn)基于cookie實(shí)現(xiàn)〔跨域〕CAS簡介CAS構(gòu)成與協(xié)議CAS根底協(xié)議CAS

請求認(rèn)證時序圖Kerberos是一種網(wǎng)絡(luò)認(rèn)證協(xié)議，其設(shè)計(jì)目標(biāo)是通過密鑰系統(tǒng)為客戶機(jī)/效勞器應(yīng)用程序提供強(qiáng)大的認(rèn)證效勞。該認(rèn)證過程的實(shí)現(xiàn)不依賴于主機(jī)操作系統(tǒng)的認(rèn)證，無需基于主機(jī)地址的信任，不要求網(wǎng)絡(luò)上所有主機(jī)的物理平安，并假定網(wǎng)絡(luò)上傳送的數(shù)據(jù)包可以被任意地讀取、修改和插入數(shù)據(jù)。在以上情況下，Kerberos作為一種可信任的第三方認(rèn)證效勞，是通過傳統(tǒng)的密碼技術(shù)〔如：共享密鑰〕執(zhí)行認(rèn)證效勞的。Kerberos登陸過程Oauth是什么OAUTH〔開放授權(quán)〕是一個開放標(biāo)準(zhǔn)，允許用戶讓第三方應(yīng)用訪問該用戶在某一網(wǎng)站上存儲的私密的資源〔如照片，視頻，聯(lián)系人列表〕，而無需將用戶名和密碼提供給第三方應(yīng)用。用戶:存放在效勞提供方的受保護(hù)的資源的擁有者第三方:要訪問效勞提供方資源的第三方應(yīng)用某一網(wǎng)站:用戶使用效勞提供方來存儲受保護(hù)的資源消費(fèi)方效勞提供方關(guān)鍵詞步驟1：向效勞提供方申請接入權(quán)限ConsumerKeyConsumerSecretrequest_token_urlaccess_token_urlauthorize_url步驟2：獲取未授權(quán)的RequestToken請求地址:request_token_url請求參數(shù):oauth_consumer_key：ConsumerKeyoauth_signature_method：簽名加密方法oauth_signature：加密的簽名oauth_timestamp：UNIX時間戳oauth_nonce：一個隨機(jī)的混淆字符串，隨機(jī)生成一個。oauth_version：OAuth版本，可選，oauth_callback：返回網(wǎng)址鏈接。及其它效勞提供商定義的參數(shù)步驟3：瀏覽器自動轉(zhuǎn)向效勞提供商的網(wǎng)站轉(zhuǎn)向地址:authorize_url?oauth_token=請求令牌步驟4：用戶同意消費(fèi)方訪問效勞提供商資源轉(zhuǎn)向地址:Oauth_callback

oauth_tokenoauth_verifier步驟5：向效勞提供商請求訪問令牌〔AccessToken〕請求地址:access_token_url請求參數(shù):oauth_consumer_key：ConsumerKeyoauth_token：上面取得的請求令牌的名oauth_signature_method：簽名加密方法oauth_signature：加密的簽名oauth_timestamp：UNIX時間戳oauth_nonce：一個隨機(jī)的混淆字符串，隨機(jī)生成一個。oauth_version：OAuth版本，可選oauth_verifier：上面返回的驗(yàn)證碼。請求訪問令牌的時候，不能加其它參數(shù)。步驟6：消費(fèi)方訪問效勞提供商上被保護(hù)的用戶資源請求地址:由效勞提供商提供請求參數(shù):oauth_consumer_key：ConsumerKeyoauth_token：訪問令牌oauth_signature_method：簽名加密方法oauth_signature：加密的簽名oauth_timestamp：UNIX時間戳oauth_nonce：一個隨機(jī)的混淆字符串，隨機(jī)生成一個。oauth_version：OAuth版本，可選及其它效勞提供商定義的參數(shù)消費(fèi)方效勞提供方用戶獲取Requesttoken創(chuàng)立requesttoken及對應(yīng)密鑰將用戶重定向到授權(quán)頁詢問用戶是否授權(quán)應(yīng)用用戶授權(quán)或者拒絕授權(quán)同意授權(quán),重定向到第三方用Reque