单点登录

1 什么是单点登录

单点登录（Single Sign On），简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

较大的企业内部，一般都有很多的业务支持系统为其提供相应的管理和IT服务。例如财务系统为财务人员提供财务的管理、计算和报表服务；人事系统为人事部门提供全公司人员的维护服务；各种业务系统为公司内部不同的业务提供不同的 服务等等。这些系统的目的都是让计算机来进行复杂繁琐的计算工作，来替代人力的手工劳动，提高工作效率和质量。这些不同的系统往往是在不同的时期建设起来 的，运行在不同的平台上；也许是由不同厂商开发，使用了各种不同的技术和标准。如果举例说国内一著名的IT公司（名字隐去），内部共有60多个业务系统，这些系统包括两个不同版本的SAP的ERP系统，12个不同类型和版本的数据库系统，8个不同类型和版本的操作系统，以及使用了3种不同的防火墙技术，还有数十种互相不能兼容的协议和标准，你相信吗？不要怀疑，这种情况其实非常普遍。每一个应用系统在运行了数年以后，都会成为不可替换的企业IT架构的一部分，如下图所示。

随着企业的发展，业务系统的数量在不断的增加，老的系统却不能轻易的替换，这会带来很多的开销。其一是管理上的开销，需要维护的系统越来越多。很多系统的数 据是相互冗余和重复的，数据的不一致性会给管理工作带来很大的压力。业务和业务之间的相关性也越来越大，例如公司的计费系统和财务系统，财务系统和人事系 统之间都不可避免的有着密切的关系。

为了降低管理的消耗，最大限度的重用已有投资的系统，很多企业都在进行着企业应用集成（EAI）。企业应用集成可以在不同层面上进行：例如在数据存储层面上的“数据大集中”，在传输层面上的“通用数据交换平台”，在应用层面上的“业务流程整合”，和用 户界面上的“通用企业门户”等等。事实上，还用一个层面上的集成变得越来越重要，那就是“身份认证”的整合，也就是“单点登录”。

通常来说，每个单独的系统都会有自己的安全体系和身份认证系统。整合以前，进入每个系统都需要进行登录，这样的局面不仅给管理上带来了很大的困难，在安全方面也埋下了重大的隐患。下面是一些著名的调查公司显示的统计数据：

·        用户每天平均 16 分钟花在身份验证任务上 - 资料来源： IDS

·        频繁的 IT 用户平均有 21 个密码 - 资料来源： NTA Monitor Password Survey

·        49% 的人写下了其密码，而 67% 的人很少改变它们

·        每 79 秒出现一起身份被窃事件 - 资料来源：National Small Business Travel Assoc

·        全球欺骗损失每年约 12B - 资料来源：Comm Fraud Control Assoc

·        到 2007 年，身份管理市场将成倍增长至 $4.5B - 资料来源：IDS

使用“单点登录”整合后，只需要登录一次就可以进入多个系统，而不需要重新登录，这不仅仅带来了更好的用户体验，更重要的是降低了安全的风险和管理的消耗。请看下面的统计数据：

·        提高 IT 效率：对于每 1000 个受管用户，每用户可节省$70K

·        帮助台呼叫减少至少1/3，对于 10K 员工的公司，每年可以节省每用户 $75，或者合计 $648K

·        生产力提高：每个新员工可节省 $1K，每个老员工可节省 $350 �资料来源：Giga

·        ROI 回报：7.5 到 13 个月 �资料来源：Gartner

         另外，使用“单点登录”还是SOA时代的需求之一。在面向服务的架构中，服务和服务之间，程序和程序之间的通讯大量存在，服务之间的安全认证是SOA应用的难点之一，应此建立“单点登录”的系统体系能够大大简化SOA的安全问题，提高服务之间的合作效率。

2 单点登录的技术实现机制

随着SSO技术的流行，SSO的产品也是满天飞扬。所有著名的软件厂商都提供了相应的解决方案。在这里我并不想介绍自己公司（Sun Microsystems）的产品，而是对SSO技术本身进行解析，并且提供自己开发这一类产品的方法和简单演示。

单点登录的机制其实是比较简单的，用一个现实中的例子做比较。颐和园是北京著名的旅游景点，也是我常去的地方。在颐和园内部有许多独立的景点，例如“苏州 街”、“佛香阁”和“德和园”，都可以在各个景点门口单独买票。很多游客需要游玩所有德景点，这种买票方式很不方便，需要在每个景点门口排队买票，钱包拿 进拿出的，容易丢失，很不安全。于是绝大多数游客选择在大门口买一张通票（也叫套票），就可以玩遍所有的景点而不需要重新再买票。他们只需要在每个景点门 口出示一下刚才买的套票就能够被允许进入每个独立的景点。

单点登录的机制也一样，如下图所示，当用户第一次访问应用系统1的时候，因为还没有登录，会被引导到认证系统中进行登录（1）；根据用户提供的登录信息，认证系统进行身份效验，如果通过效验，应该返回给用户一个认证的凭据－－ticket（2）；用户再访问别的应用的时候（3，5）就会将这个ticket带上，作为自己认证的凭据，应用系统接受到请求之后会把ticket送到认证系统进行效验，检查ticket的合法性（4，6）。如果通过效验，用户就可以在不用再次登录的情况下访问应用系统2和应用系统3了。

从上面的视图可以看出，要实现SSO，需要以下主要的功能：

·        所有应用系统共享一个身份认证系统。
统一的认证系统是SSO的前提之一。认证系统的主要功能是将用户的登录信息和用户信息库相比较，对用户进行登录认证；认证成功后，认证系统应该生成统一的认证标志（ticket），返还给用户。另外，认证系统还应该对ticket进行效验，判断其有效性。

·        所有应用系统能够识别和提取ticket信息
要实现SSO的功能，让用户只登录一次，就必须让应用系统能够识别已经登录过的用户。应用系统应该能对ticket进行识别和提取，通过与认证系统的通讯，能自动判断当前用户是否登录过，从而完成单点登录的功能。

上面的功能只是一个非常简单的SSO架构，在现实情况下的SSO有着更加复杂的结构。有两点需要指出的是：

·        单一的用户信息数据库并不是必须的，有许多系统不能将所有的用户信息都集中存储，应该允许用户信息放置在不同的存储中，如下图所示。事实上，只要统一认证系统，统一ticket的产生和效验，无论用户信息存储在什么地方，都能实现单点登录。

 

·        统一的认证系统并不是说只有单个的认证服务器，如下图所示，整个系统可以存在两个以上的认证服务器，这些服务器甚至可以是不同的产品。认证服务器之间要通过标准的通讯协议，互相交换认证信息，就能完成更高级别的单点登录。如下图，当用户在访问应用系统1时，由第一个认证服务器进行认证后，得到由此服务器产生的ticket。当他访问应用系统4的时候，认证服务器2能够识别此ticket是由第一个服务器产生的，通过认证服务器之间标准的通讯协议（例如SAML）来交换认证信息，仍然能够完成SSO的功能。

 

3 SSO的技术

3.1 基于cookies实现

     利用浏览同域名之间自动传递cookies机制，实现两个域名之间系统令牌传递问题；另外，关于跨域问题，虽然cookies本身不跨域，但可以利用它实现跨域的SSO。如：代理、暴露SSO令牌值等。

3.2 Broker-based(基于经纪人)

      这种技术的特点就是，有一个集中的认证和用户帐号管理的服务器。经纪人给被用于进一步请求的电子的身份存取。中央数据库的使用减少了管理的代价，并为认证提供一个公共和独立的“第三方”。例如集团SMAP、Kerberos、Sesame、IBM KryptoKnight（凭证库思想）等

3.3 Agent-based(基于代理)

      在这种解决方案中，有一个自动地为不同的应用程序认证用户身份的代理程序。这个代理程序需要设计有不同的功能。比如,它可以使用口令表或加密密钥来自动地将认证的负担从用户移开。代理被放在服务器上面，在服务器的认证系统和客户端认证方法之间充当一个“翻译”；例如 SSH等。

3.4 Token-based

      现在被广泛使用的口令认证，比如FTP，邮件服务器的登录认证，这是一种简单易用的方式，实现一个口令在多种应用当中使用

3.5 基于网关

3.6 基于安全断言标记语言(SAML)实现
     SAML（Security Assertion Markup Language，安全断言标记语言）的出现大大简化了SSO，并被OASIS批准为SSO的执行标准。

4 单点登录实现

基于实现成本最低，当然安全系数是最低的基于Cookie的单点登录系统。单点登录的交互过程如下图（图画的不专业，见笑了）：

 

 简单描述一下实现过程

步骤1：用户通过浏览器访问系统A，验证是否有SSO信息

A,系统A首先读取客户端的cookie,若cookie的值为空则转步骤2，否则继续往下判断； 
B,读取系统A的Session，若Session与cookie的token值相同，则直接返回用户所访问的页面；若不同则继续转C步骤处理；

C,调用SSO的Web服务【这期间需要对调用web服务的参数如帐号密码进行验证，也可以对访问IP或IP段做访问控制】，验证cookie中的值包含的时间戳是否过期，若过期则转步骤2；若未过期则判断SSO是否被篡改，篡改则转步骤2，未篡改则记录**用户于**时间登录了**系统（还可以记录客户端的相关信息，如OS，Browser，IP等信息）转步骤D； 
D，返回用户信息，重新记录Session及cookie信息。

步骤2：无SSO信息，返回重定向信息至用户端，转步骤3

步骤3：用户端收到信息后，跳转至单点登录的统一认证界面

步骤4：单点登录站点接收到页面请求后，将统一认证界面返回给用户

步骤5：用户输入帐号密码进行登录

步骤6：单点服务到数据库中验证用户的信息

步骤7：返回Token信息，将token写入cookie

       若验证通过，则将时间戳信息+加密后的用户信息作为token值写入cookie。其中，token的时间戳加上超时时间的1/3>=当前时间，则重新生成一个时间戳及Des加解密用的key、iv；从而保证用户在操作页面时得以延长超时时间。

步骤8：认证通过后系统又重新定到系统A

      在刚重定向至系统A时，由于系统A无Session系统，故仍会执行步骤1的判断，调用Web服务去验证token信息（这一步有点重复，不知各位大侠有何更好解决办法。若通过系统A自身调用SSO接口进行验证并记录session或cookie则不存在这个问题），直到在返回后重写cookie。

步骤9：用户通过系统A的链接进入系统B

步骤10：系统B首先判断服务端的Session及客户端的Cookie的Token是否一致。

      由于系统B第一次被某个用户访问，故无Session信息，只有Cookie信息 

步骤11：调用SSO的Web服务将Token信息传递给SSO进行验证

步骤12：校验Token信息

      判断token是否过期，若过期则跳转至SSO登录；未过期则对token进行解密，若不能解密，则token被篡改，重新跳转SSO登录（判断过程跟步骤1一致）

步骤13：返回Token信息,系统B写Session及Cookie

步骤14:将用户向系统B请求的页面返回给用户

 

 

参考资料：

1. http://www.blogjava.net/xcp/archive/2010/04/13/318125.html

2. http://www.cnblogs.com/zsuxiong/archive/2011/11/09/2241622.html