摘　要： 在基于Web的多種應(yīng)用系統(tǒng)中需要統(tǒng)一身份認(rèn)證和資源訪問控制機(jī)制,，采用基于Cookie的單點(diǎn)登錄系統(tǒng)是一種很好的解決方案,，它是一種基于HTTP重定向和票據(jù),，并以跨域Cookie的共享為核心的集中式認(rèn)證系統(tǒng),。
??? 關(guān)鍵詞： Cookie；單點(diǎn)登錄,；跨域認(rèn)證

?

　　隨著信息技術(shù)和網(wǎng)絡(luò)技術(shù)的發(fā)展,，企業(yè)信息化建設(shè)已經(jīng)進(jìn)入了快速發(fā)展的階段，隨著企業(yè)信息化過程的不斷深化,，Web應(yīng)用系統(tǒng)規(guī)模也不斷擴(kuò)大,。大量Web應(yīng)用系統(tǒng)在辦公自動化中得到廣泛應(yīng)用。每個應(yīng)用系統(tǒng)出于安全因素考慮都建立了登錄模塊,，用戶訪問不同的應(yīng)用系統(tǒng)需要多次輸入用戶名和口令,，使用非常不便，工作效率低下,；而且眾多的用戶名和密碼增加了系統(tǒng)管理的負(fù)擔(dān),；用戶名和密碼的冗余存儲造成了資源浪費(fèi)；另外用戶為了便于記憶常常會使用簡單口令或相同口令,，頻繁的輸入也大大增加了口令被非法截獲和破解的幾率,。這些都會降低Web應(yīng)用系統(tǒng)的安全性。
　　如何實(shí)現(xiàn)方便快捷,、管理輕松,、成本低、安全性高的認(rèn)證已經(jīng)成為當(dāng)前企業(yè)Web應(yīng)用中亟待解決的問題之一。建立一個跨平臺,、跨應(yīng)用的基礎(chǔ)性服務(wù)系統(tǒng),，將企業(yè)中各個應(yīng)用系統(tǒng)的身份認(rèn)證獨(dú)立出來，進(jìn)行集中統(tǒng)一管理,，是解決上述問題行之有效的方法,。每個用戶只需要一套用戶名和口令，進(jìn)行一次身份驗(yàn)證,，就可以對所授權(quán)的所有信息系統(tǒng)進(jìn)行無縫訪問,。從而提高辦公效率、方便系統(tǒng)管理,、降低使用成本,、提升企業(yè)Web的整體安全。這種解決方案就是單點(diǎn)登錄SSO(Single Sign On),，單點(diǎn)登錄在企業(yè)Web系統(tǒng)中的應(yīng)用,，對于推動網(wǎng)絡(luò)辦公自動化的普及和發(fā)展具有十分重要的作用,。
1 Cookie概述
1.1? Cookie的定義及功能
　　Cookie是用戶在瀏覽網(wǎng)頁頁面時,，服務(wù)器發(fā)送給瀏覽器的體積很小的純文本信息，它保存在客戶機(jī)的內(nèi)存中,，或作為文件保存在客戶機(jī)的硬盤中,，用戶以后訪問同一個Web服務(wù)器時瀏覽器會把它們原樣發(fā)送給服務(wù)器。通過讓服務(wù)器讀取它原先保存到客戶端的信息,，網(wǎng)站能夠?yàn)闉g覽者提供一系列的方便,。目前，Cookie已廣泛應(yīng)用于Web應(yīng)用中,，如Microsoft的Passport 單點(diǎn)登錄服務(wù)就是借助于Cookie完成的,。
1.2? Cookie的組成
　　Cookie由變量名和值組成。其屬性里既有標(biāo)準(zhǔn)的Cookie變量,，也有用戶自己創(chuàng)建的變量,，屬性中變量是用“變量=值”形式來保存。
　　Cookie的基本格式如下：
　　NAME=VALUE,；expires=Date,；Path=PATH；
　　Domain=DOMAIN_NAME,；Secure
　　其中各項以“,；”分開，首先是指定Cookie的名稱,，并為其賦值,。接下來分別是Cookie的有效期、URL路徑以及域名，在這幾項中,，除了第一項以外,，其它部分均為可選項。
　　(1)NAME=VALUE是每一個Cookie均必須有的部分,。NAME是該Cookie的名稱,，VALUE是該Cookie的值。在字符串“NAME=VALUE”中,，不含分號,、逗號和空格等字符。如NAME是role_cookie,，其VALUE是manager,。
　　(2)Expires=DATE：Expires變量是一個只寫變量，它確定了Cookie有效終止日期,。該變量可省,，如果缺省時，則Cookie的屬性值不會保存在用戶的硬盤中,，而僅僅保存在內(nèi)存當(dāng)中,，Cookie文件將隨著瀏覽器的關(guān)閉而自動消失。
　　(3)Domain=DOMAIN_NAME：Domain是Cookie在其內(nèi)有效的主機(jī)或域名,。Domain確定了哪些lnternet域中的Web服務(wù)器可讀取瀏覽器所存取的Cookie,，即只有來自這個域的頁面才可以使用Cookie中的信息。這項設(shè)置是可選的,，缺省時,，設(shè)置Cookie的屬性值為該Web服務(wù)器的域名。
　　(4)Path=PATH：Path定義了Web服務(wù)器上哪些路徑下的頁面可獲取服務(wù)器設(shè)置的Cookie,。該項設(shè)置同樣是可選的,，如果缺省時，則Path的屬性值為Web服務(wù)器傳給瀏覽器的資源的路徑名,?？梢钥闯鼋柚鷮omain和Path兩個變最的設(shè)置，即可有效地控制Cookie文件被訪問的范圍,。
　　(5)Secure：在Cookie中標(biāo)記該變量,，表明只有當(dāng)瀏覽器和Web Server之間的通信協(xié)議為加密認(rèn)證協(xié)議時，瀏覽器才向服務(wù)器提交相應(yīng)的Cookie,。當(dāng)前這種協(xié)議只有一種,，即為HTTPS。
1.3? Cookie的使用
　　有兩種方式使用Cookie,，一是當(dāng)用戶用瀏覽器首次訪問某Web站點(diǎn)(Web服務(wù)器)時,，服務(wù)器端先用Set-Cookie header來創(chuàng)建一個Cookie，再用Response命令將Cookie寫入訪問者的計算機(jī)，此過程稱作創(chuàng)建Cookie,；二是當(dāng)用戶用瀏覽器再次訪問此Web站點(diǎn)時,，用Request命令從訪問者的計算機(jī)中以忽略路徑的方式取回Cookie，此過程稱作讀取Cookie,。
2?單點(diǎn)登錄的關(guān)鍵技術(shù)
2.1?單域單點(diǎn)登錄
　　單域單點(diǎn)登錄指只有一個服務(wù)實(shí)體域,，所有屬于該域的服務(wù)實(shí)體都信任這個機(jī)構(gòu)所認(rèn)證過的用戶，某一用戶在成功登錄單域中的任意一臺Web服務(wù)實(shí)體以后,，繼續(xù)訪問同一服務(wù)實(shí)體不需要再次經(jīng)過認(rèn)證,，并且訪問同一域的其他Web服務(wù)實(shí)體，也不需要經(jīng)過認(rèn)證,。
　　采用Cookie技術(shù)解決SSO主要過程描述如下：
　　首先用戶通過客戶端瀏覽器,，向應(yīng)用服務(wù)器請求訪問和使用受保護(hù)的資源，應(yīng)用服務(wù)器分析請求,，檢查這個用戶是否有已經(jīng)創(chuàng)建好的有效的Cookie,，其中包含有效的用戶SSO票據(jù)。如果沒有有效的Cookie,，則應(yīng)用服務(wù)器將用戶的Web瀏覽器重定向到登錄服務(wù)器,。若驗(yàn)證成功，登錄服務(wù)器產(chǎn)生一個有效的Cookie,，其中包含有效的用戶SSO票據(jù),。為安全起見,，一般要對此Cookie中的信息進(jìn)行加密處理,。登錄服務(wù)器將含有SSO票據(jù)的Cookie發(fā)送給用戶的Web瀏覽器，并將用戶的Web瀏覽器重定向到原先請求的資源,，向應(yīng)用服務(wù)器再次請求訪問和使用已申請的資源,。驗(yàn)證成功，則向用戶提供所請求的資源,；若驗(yàn)證不成功,，則拒絕用戶訪問所請求的資源或提示用戶重新登錄。圖1顯示了單點(diǎn)登錄訪問流程,。

2.2?跨域單點(diǎn)登錄
　　Cookie的存取只對同一域下的主機(jī)有效,，分布式應(yīng)用系統(tǒng)往往不能保證所有的主機(jī)都在同一域下。當(dāng)用戶登錄加入SSO認(rèn)證體系里的一臺服務(wù)器時,，例如服務(wù)器A,，客戶機(jī)瀏覽器可以將獲得的登錄用戶票據(jù)記錄到本地Cookie中，當(dāng)此客戶機(jī)轉(zhuǎn)而訪問服務(wù)器B的時候,，為了實(shí)現(xiàn)單點(diǎn)登錄,，服務(wù)器B必須要獲得標(biāo)識用戶登錄狀態(tài)的票據(jù)作為憑證來進(jìn)行驗(yàn)證，而此票據(jù)存儲于先前訪問服務(wù)器A時留下的Cookie，此Cookie只對來自服務(wù)器A域里的訪問有效,，為獲取訪問其他域主機(jī)的Cookie,，必需實(shí)現(xiàn)跨域共享Cookie。
　　假設(shè)處于不同域下的服務(wù)器A和服務(wù)器B聯(lián)合組成的網(wǎng)絡(luò)應(yīng)用需要統(tǒng)一的用戶認(rèn)證,，客戶機(jī)曾在服務(wù)器A進(jìn)行了訪問,，并且在本地保存了服務(wù)器A的Cookie，圖2顯示了客戶機(jī)在訪問服務(wù)器B的時候共享服務(wù)器A的Cookie的過程,。

　　共享網(wǎng)跨域單點(diǎn)登錄系統(tǒng)的登錄及認(rèn)證過程涉及客戶機(jī),、數(shù)據(jù)中心和登錄認(rèn)證中心（CA）三個角色之間的交互。采用Cookie技術(shù)解決跨域SSO主要過程描述如下：
　　(1)客戶機(jī)訪問某一數(shù)據(jù)中心網(wǎng)站的受保護(hù)資源,，單點(diǎn)登錄模塊首先接管請求,，查詢客戶機(jī)是否持有本數(shù)據(jù)中心的Cookie，并試圖獲取其中的訪問票據(jù),。如果客戶機(jī)可以提供,，說明用戶曾經(jīng)以合法身份訪問過此數(shù)據(jù)中心，并且尚未在本地注銷,，轉(zhuǎn)向(4),；否則，要通過共享跨域的Cookie來確定是否進(jìn)行全局登錄,，進(jìn)行(2),。
　　(2)這個步驟的主要工作是跨域獲取Cookie?？蛻魴C(jī)瀏覽器被重定向到登錄認(rèn)證中心,，CA試圖獲取存儲于客戶機(jī)的Cookie，如果不存在,，說明用戶尚未全局登錄,，轉(zhuǎn)向(3)；否則,，從Cookie中獲取票據(jù),。然后CA將客戶機(jī)瀏覽器重定向回原先訪問的數(shù)據(jù)中心，數(shù)據(jù)中心獲取票據(jù)和返回地址,，把票據(jù)寫入客戶端Cookie并跳轉(zhuǎn)到返回地址,，然后進(jìn)行(1)。
　　(3)重定向客戶機(jī)瀏覽器到CA上的登錄頁面,，認(rèn)證中心獲取登錄用戶名和密碼并將其與用戶信息庫信息核對,，進(jìn)行用戶身份確認(rèn)。如果沒有這個用戶或密碼錯誤,，直接返回登錄失??；如果驗(yàn)證成功，隨機(jī)生成標(biāo)識此用戶登錄的唯一票據(jù),，并生成一個條目放入用戶信息庫中,，并把票據(jù)存入客戶機(jī)的Cookie中。然后,，通過跨域Cookie共享機(jī)制,，把此票據(jù)轉(zhuǎn)入客戶機(jī)所訪問的數(shù)據(jù)中心，將臺寫到客戶機(jī)的Cookie中,，用戶完成登錄,，轉(zhuǎn)向(1)進(jìn)行資源訪問。
　　(4)客戶機(jī)用票據(jù)來訪問認(rèn)證中心的用戶狀態(tài)查詢服務(wù),，認(rèn)證中心訪問用戶信息庫確定該用戶是否依然處于登錄狀態(tài),。如果處于登錄狀態(tài)則將用戶名和用戶的訪問級別返回數(shù)據(jù)中心，允許用戶訪問數(shù)據(jù)資源,。否則,，然后轉(zhuǎn)向(3)，提示用戶輸入用戶名和密碼,。
　　在本方案的整個流程中,，除了最初輸入的用戶名和密碼外，其他所傳輸?shù)亩际瞧睋?jù),，最后客戶機(jī)拿此票據(jù)獲取登錄用戶的用戶名,，從而結(jié)束認(rèn)證過程。
3 安全性分析
????? 保存有用戶SSO票據(jù)的Cookie需要在客戶端和服務(wù)器端來回傳遞,，而一般情況下,，在傳輸信道中Cookie是以明文形式傳輸?shù)模旧硪膊荒芴峁┩暾缘劝踩?yàn)證機(jī)制,，而且它在客戶端也是明文存儲的,，因此存在較大的安全隱患。因此,，在認(rèn)證系統(tǒng)中，需要有相應(yīng)的安全措施,，來保護(hù)Cookie的安全性,。
　　(1)重放攻擊。在本方案中每個Cookie均由產(chǎn)生者加上唯一的ID域和時間戳域,，可以抵御重放攻擊,。
　　(2)消息篡改。因?yàn)镃ookie存放在客戶端瀏覽器中,，雖然Cookie技術(shù)本身具備防止非授權(quán)服務(wù)器端篡改的手段,，但是目前也發(fā)現(xiàn)可以通過偽造DNS域名來進(jìn)行篡改,。在本方案中，每個發(fā)布的Cookie均由發(fā)布者進(jìn)行數(shù)字簽名,，各模塊在使用這些Cookie時,，首先簽證數(shù)字簽名的值是否正確，如果數(shù)字簽名值為非法,，那么拒絕該Cookie,。這樣就可以完全杜絕Cookie被篡改的情況發(fā)生。
　　(3)竊聽及中間人攻擊,。這種攻擊是指認(rèn)證過程的信息被他人查看,，進(jìn)而進(jìn)行分析，最后將自己的數(shù)據(jù)替代原始數(shù)據(jù),。只要防止Cookie被其他人隨意查看和分析,，即可抵御該種攻擊?？梢栽诒痉桨钢幸朊荑€的分配和管理系統(tǒng),，對系統(tǒng)中的各模塊分配密鑰和定時更新密鑰。在認(rèn)證過程中,，對各種Cookie中的關(guān)鍵域值進(jìn)行對稱加密,，防止中間人讀取有效的數(shù)據(jù)。
　　企業(yè)單點(diǎn)登錄方案將企業(yè)內(nèi)部相對獨(dú)立分散的網(wǎng)絡(luò)應(yīng)用系統(tǒng)進(jìn)一步得到了統(tǒng)一,，消除了企業(yè)信息化孤島和數(shù)據(jù)冗余等問題,，有效地實(shí)現(xiàn)了數(shù)據(jù)共享，使一個用戶只要驗(yàn)證一次即可訪問多個應(yīng)用系統(tǒng),，解決了困擾單位內(nèi)部不同部門應(yīng)用系統(tǒng)重復(fù)登錄和反復(fù)認(rèn)證的難題,，整個過程對于用戶來說是透明的，不需要改變原有的業(yè)務(wù)流程,。這樣既方便了用戶使用,，又提高了網(wǎng)絡(luò)辦公的工作效率。當(dāng)然,，Cookie的使用需要注意安全問題,，要采用相應(yīng)的安全技術(shù)。

參考文獻(xiàn)
[1] 陳旭暉,，林世平,，莊世芳，等.基于Web服務(wù)的單點(diǎn)登錄系統(tǒng).福建電腦,，2006,，3.
[2] 孫雷.基于網(wǎng)格的Web Services技術(shù)分析及單點(diǎn)登錄問題探討[J].中國科技信息，2005.
[3] 邱航,，權(quán)勇.基于Kerberos的單點(diǎn)登錄系統(tǒng)研究與設(shè)計[J].計算機(jī)應(yīng)用.