Однократная аутентификация в web–портале Хоанг с.Б. (pepvm@eldic.Tsure.Ru), Вишняков ю.М. (vishn@tsure.Ru)

Таганрогский Государственный Технический Университет (ТРТУ), г.Таганрог

Введение

Портал – это входная точка в корпоративную сеть, которая позволяет использовать разные сервисы. В большинстве случаев при подключении к этим сервисам требуется выполнить аутентификацию. Модель однократной аутентификации необходима для того, чтобы пользователь мог избегать от многократного входа в рамке портала.

Однократная аутентификация или Single Sign On (SSO) означает совместное использование идентификационных данных. При этом пользователь выполняет вход в систему один раз для доступа к разным ресурсам, сервисам корпоративных сетей, так же к ресурсам сети партнеров.

Хотя, в настоящее время не существует стандарта разработки SSO для портала, но имеется возможность построить такую модель на основе протоколов аутентификации. В этой статье рассматривается, как можно реализовать SSO в портале.

Модели SSO в портале

Сохранение паролей на клиентской стороне.

Технология, основанная на сохранении пароля в cookie для упрощения процесса аутентификации, применяется на многих сайтах. Принцип этого механизма очень прост: при первой входе в систему, необходимые идентификационные данные (имя пользователя и пароль) записываются в cookie браузера; следующий вход не требует от пользователя ввода данные, а эти данные извлекаются из cookie. В идентификационные данные портала входят все необходимые идентификационные данные его сервисов.

Недостатки данного механизма: он не соответствует принципу портала, принципу «доступ в портал с любого места одинаков», механизм не работает в случае отключения cookie, и повышается риск безопасности при локальных атаках.

Синхронизация паролей на сервере.

Синхронизация паролей заключается в том, что все пароли сохраняются на сервере для дальнейшего использования в процессе аутентификации каждого сервиса, и только пользователь имеет доступ к этим данным.

Самой критической проблемой в синхронизации паролей является проблема «защиты паролей от администратора». Проблема состоит в том, что хотя администратор не может читать пароль в тестовом виде, но теоретически он может заменить пароль, использовать услугу от имени пользователя и потом восстановить его обратно.

Модель Kerberos и стандарты, основаннные на XML.

С точки зрения технологии, первые две модели не являются SSO. Более надежные и структурированные модели SSO разрабатываются по двум направлением: модели основанные на протоколе Kerberos и модели построены на базе протоколов XML. К первому классу относятся Passport (Microsoft), CAS (Yale University), и т.д. Во вторую группу входят SAML, Liberty Alliance, и другие.

Kerberos представляет собой модель аутентификации, и построена по принципам централизации и доверия. В модели Kerberos аутентификация выполняется через общую систему, так называемую KDC (Key Distribution Center – Центр распределения ключей). Для обеспечения защиты при передаче ключа используется алгоритм асимметричного шифрования. Кроме того, Kerberos позволяет реализовать аутентификацию между доменами по принципу доверия.

Модели, построенные на базе протоколов XML, такие как SAML используют понятие «утверждение». «Утверждение» содержит информацию утверждающую некоторый факт секретности. Например: «пользователь П успешно выполнен аутентификации в сервер С во время Т1, и эта аутентификация действительна до Т2». Получив «утверждение», пользователь получит доступ в любую систему, в которой утверждает истинность его «утверждение». Как для обеспечения безопасности, так и для проверки подлинности используется шифрованная подпись.

Заключение

Реализация SSO в портале представляет собой сложную задачу. Модель Kerberos и модель SAML являются хорошим решением данной задачи, но не всегда удается их использовать. Например, когда модификация модуля аутентификации сервиса для его совместимости с этими моделями невозможна или когда требование безопасности к системе не столь строго, тогда лучше использовать простые модели. Для совместного использования этих моделей предлагается применить механизм идентификации модели аутентификации канала.

Литература

1. Chris Dunne “Integrate an open source, Java-based authentication component into a Web portal”. IBM, 30 Sep 2003.

2. Pat Patterner, Pirasenna Velandai Thiyagarajan, Marina Sum “Federated Identity: Single Sign-On Among Enterprises”. Sun Microsystems, Inc. 2005.

3. “Windows 2000 Kerberos Authentication”. Windows 2000 White paper. Microsoft Corporation, 1999.

4. Doug Tidwell, James Snell, Pavel Kluchenko “Programming Web Services with SOAP”. O’Reilly, December 2001. стр. 121-169, стр. 194-207.