CN102377788B

CN102377788B - 单点登录系统及其单点登录方法

Info

Publication number: CN102377788B
Application number: CN201110415276.2A
Authority: CN
Inventors: 张义
Original assignee: Founder International Co Ltd
Current assignee: Founder International Co Ltd
Priority date: 2011-12-13
Filing date: 2011-12-13
Publication date: 2014-06-25
Anticipated expiration: 2031-12-13
Also published as: CN102377788A

Abstract

本发明公开了一种单点登录系统和方法，属于计算机网络技术领域。本发明通过反向代理技术搭建单点登录系统，使用Cookie和令牌认证技术完成对各平台登录时的认证操作，并且通过利用时间戳完成对相关信息的加密操作。本发明可以兼容现有的用户系统，且无需将用户提取出来；不需通过SSL和HTTPS等加密协议便可以实现同等安全性的加密传输；并且每个平台的令牌和密钥都独立，一个用户或者一个密钥的破解不会影响其他用户和平台。

Description

单点登录系统及其单点登录方法

技术领域

本发明涉及计算机网络技术领域，尤其涉及一种单点登录系统及方法。

背景技术

现有技术中常用的单点登录技术(SSO技术)主要有以下几种：基于Cookie实现；基于经纪人(Broker-based)实现；基于代理人(Agent-based)实现；基于令牌(Token-based)实现；以及基于安全断言标记语言(SAML)实现。

目前，Sohu和ucenter都是使用基于Cookie的技术实现统一登录，具体实现方案为：使用某个域名作为登录域，并增加P3P文件头，在验证完用户信息之后，向服务器请求动态加载某些js，并且通过iframe写入其他子应用所在域的Cookie。OAUTH协议为用户资源的授权提供了一个安全的、开放而又简易的标准。OAUTH认证授权就三个步骤：(1)应用用APP KEY和APP SECRET换取OAuth_token；(2)应用将用户引导到服务商的页面对该OAuth_token进行授权(可能需要输入用户名和密码)；(3)服务商的页面跳转回应用，应用再根据参数去服务商获得Access Token；(4)使用这个Access Token就可以访问API了。

然而，现有技术中无论是Sohu，Ucenter基于Cookie的技术，还是CASSSO技术都需要集中统一管理用户，并且一个令牌的被破解就会导致全部子平台暴露在黑客的攻击之下，并且部分平台无法完全兼容SSL，而Oauth需要修改已有的用户接口并开放出来，适合对一些开放的应用平台，对封闭平台或者不希望公开API的平台并不适用。上述技术缺陷给单点登录技术的应用带来了很大的局限性。

发明内容

鉴于上述现有技术存在的缺陷，本发明的目的是提出一种兼容性强、安全性高的单点登录系统及方法。

为了解决现有技术中的这些问题，本发明提供的技术方案是：

一种单点登录系统，用于多系统平台的单点登录，所述系统平台包括主平台和子平台，其特征在于，所述单点登录系统包括：

反向代理管理器，用于通过反向代理技术将所述子平台映射成所述主平台的子功能模块，并对所述子平台的Cookie进行转移；

登录注册管理器，用于用户在所述单点登录系统上的登录和注册；

认证管理器，用于对用户的身份及权限进行认证，若通过认证则授权用户登录；若未通过认证，则拒绝用户登录；

信息存储装置，用于存储用户的注册信息；

数据传输装置，用于所述主平台和子平台之间信息的传输。

优选的，所述登录注册管理器包括：

主平台注册模块，用于所述主平台上用户信息的注册；

子平台注册模块，用于所述子平台上用户信息的注册及生成授权令牌。

优选的，所述单点登录系统还包括用于对系统平台之间所传输的信息进行加密和解密的安全管理器。

本发明的另一目的在于提供一种使用单点登录系统进行单点登录方法，用于多系统平台的单点登录，所述系统平台包括主平台和子平台，其特征在于，所述方法包括如下步骤：

(1)通过反向代理技术将所述子平台映射成所述主平台的子功能模块，并且开启对所述子平台的Cookie转移功能；

(2)若用户未完成注册，则在所述主平台上分别完成对所述主平台和子平台的注册操作，若用户完成注册，则在所述主平台上分别完成对所述主平台和子平台的登录操作。

优选的，所述方法步骤(2)中注册操作包括如下步骤：

(a)用户在所述主平台上输入用户信息；

(b)用户选择需要登录的子平台，所述主平台将所述用户信息传递至所述子平台，用户通过所述主平台向所述子平台输入附加信息，所述子平台对所述用户信息和附加信息进行认证；

(c)上述认证通过后，所述子平台生成令牌，并将所述令牌、用户在所述子平台上的ID以及用户在所述主平台上的ID传递至所述主平台；

(d)所述主平台对接收到的上述信息进行认证，并在认证通过后通知所述子平台。

优选的，所述方法步骤(2)中登录操作包括如下步骤：

(I)用户发送登录请求至所述主平台，所述主平台对用户信息进行认证；

(II)上述认证通过后，用户登录所述主平台，所述主平台将各所述子平台生成的令牌写入Cookie；

(III)用户发送登录请求至所述子平台，所述子平台对所述Cookie中的令牌进行匹配认证，若认证通过，则授权用户登录所述子平台，若认证未通过，则拒绝用户登录所述子平台，并生成相关提示信息。

优选的，所述方法中主平台和子平台均对需要传递的信息进行加密操作，并对接收到的加密信息进行解密操作；所述加密操作中的明文结构包括时间戳、干扰因子以及所述需要传递的信息。

优选的，所述方法中主平台和子平台均对接收到的信息进行安全认证，所述安全认证的内容包括：数据来源URL、时间戳、解密后的原文是否含有相一致的干扰因子以及解密后的原文是否符合参数要求。

优选的，所述方法中子平台分别设置有密钥和初始化向量，所述密钥和初始化向量由各子平台的管理员进行更新，且所述子平台对所述更新操作进行定期提醒。

优选的，所述方法中对所述密钥和初始化向量的更新操作具体包括如下步骤：

(A)所述子平台生成新的密钥和初始化向量；

(B)所述子平台将所述新的密钥和初始化向量和旧的密钥和初始化向量经加密操作后传递至所述主平台；

(C)所述主平台将接收到的上述信息进行解密和认证，并在认证通过后，将所述旧的密钥和初始化向量经所述新的密钥和初始化向量加密后传递至所述子平台；

(D)所述子平台将接收到的上述信息进行解密和认证，若认证通过，则完成所述密钥和初始化向量的更新操作，若认证未通过，则重复进行步骤(B)及其以下步骤。

与现有技术相比，本发明的有益效果为：

(1)异构平台单点登录无缝集成，具有广泛的适应性；(2)每个平台都使用独立的密钥和独立的加密令牌作为身份认证方式，各平台的安全相互独立，不会相互影响；(3)不要求集中管理用户信息，不影响现有系统业务逻辑，对现有数据结构改动非常小，子系统只需要区分是否为单点登录用户，对非单点登录用户功能无任何影响；(4)松耦合用户关系系统，可以由用户自主选择是否无缝登录到各子平台，用户可以主动申请授权或者解除授权到各子平台；(5)安全性强化设计，使用与密文相关的对称加密方法，并使用验证防篡改技术，以及验证随机字符串时间戳技术来抵御伪造和重放攻击。

附图说明

下面结合附图及实施例对本发明作进一步描述：

图1是本发明实施例单点登录系统的结构框图；

图2是本发明实施例单点登录方法的流程图；

图3是图2中注册操作的流程图；

图4是图2中登录操作的流程图；

图5是本发明实施例密钥和初始化向量的更新操作的流程图。

具体实施方式

以下结合具体实施例对上述方案做进一步说明。应理解，这些实施例是用于说明本发明而不限于限制本发明的范围。实施例中采用的实施条件可以根据具体厂家的条件做进一步调整，未注明的实施条件通常为常规使用的条件。

实施例

如图1所示，本实施例的单点登录系统10，用于至少两系统平台的单点登录，所述平台包括主平台和子平台，所述单点登录系统10主要包括：反向代理管理器、登录注册管理器、认证管理器、信息存储装置、数据传输装置及安全管理器。

所述反向代理管理器主要用于通过反向代理技术将所述子平台映射成所述主平台的子功能模块，从而去同化不同的域名。所述登录注册管理器主要用于使用户完成在所述单点登录系统上的登录和注册操作。

所述登录注册管理器还包括：主平台注册模块和子平台注册模块，所述主平台注册模块主要用于所述主平台上用户信息的注册；所述子平台注册模块主要用于所述子平台上用户信息的注册及生成授权令牌。

所述认证管理器主要用于对用户的身份及权限进行认证，若通过认证则授权登录，若未通过认证，则拒绝登录。所述信息存储装置主要用于存储用户的注册信息。所述数据传输装置主要用于所述主平台和子平台之间信息的传输。所述安全管理器主要用于对所述主平台和子平台之间所传输的信息进行加密和解密。

下面简单地介绍一下本实施例中单点登录系统10的工作原理：

所述反向代理管理器通过反向代理技术将所述子平台映射成所述主平台的子功能模块，从而使用户请求注册或登录的域名相同，这样去同化不同的域名避免用户去登录不同的服务器。这样用户通过主平台上的所述登录注册管理器完成对所述单点登录系统10的注册操作。

所述注册操作具体包括如下过程：

首先，用户通过所述主平台注册模块在所述主平台上输入用户信息，所述用户信息包括账户名、密码、Email等；接着，用户选择需要登录的子平台，所述主平台通过所述数据传输装置将所述用户信息传递至所述各子平台，用户通过所述子平台注册模块向所述子平台输入附加信息，所述子平台通过所述认证管理器对所述用户信息和附加信息进行认证；当上述认证通过后，所述子平台则生成相应的授权令牌，并将所述令牌、用户在所述子平台上的ID以及用户在所述主平台上的ID通过所述数据传输装置传递至所述主平台，所述主平台将上述信息存储至所述信息存储装置；最后，所述主平台通过所述认证管理器对接收到的上述信息进行认证，并在认证通过后，通知相应的子平台，从而完成用户在单点登录系统10上的注册操作。

用户完成所述注册操作后，通过所述登录注册管理器在所述主平台上分别完成对所述主平台和子平台的登录操作。

所述登录操作具体包括如下过程：

首先，用户通过所述登录注册管理器发送登录请求至所述主平台，所述主平台通过所述认证管理器完成对用户信息的认证操作；然后，当上述认证操作通过后，所述登录注册管理器允许用户登录至所述主平台，所述主平台将所述信息存储器中储存的令牌及相关信息写入Cookie中；最后，用户通过所述登录注册管理器发送登录请求至所述子平台，所述子平台通过所述认证管理器对所述Cookie中的令牌及相关信息进行匹配认证，若通过认证，则所述登录注册管理器允许用户登录至所述主平台，若未通过认证，则拒绝用户登录相应的子平台。

所述安全管理器对上述过程中，所述主平台和子平台之间相互传递的信息分别进行加密和解密操作。

如图2所示，本发明的具体实施方式中单点登录方法，具体包括如下步骤：

步骤S1：通过反向代理技术将所述子平台映射成所述主平台的子功能模块，并且开启对所述子平台的Cookie转移功能，从而去同化不同的域名。

步骤S2：若用户未完成注册，则在所述主平台上分别完成对所述主平台和子平台的注册操作。

在步骤S2中，所述注册操作具体包括如图3所示的以下步骤：

步骤S21：用户在所述主平台上输入用户信息，所述用户信息包括用户名、密码、Email等。

步骤S22：用户选择需要登录的子平台，所述主平台将所述用户信息传递至所述子平台，用户通过所述主平台向所述子平台输入附加信息，所述子平台对所述用户信息和附加信息进行认证。

步骤S23：上述认证通过后，所述子平台生成令牌，并将所述令牌、用户在所述子平台上的ID以及用户在所述主平台上的ID传递至所述主平台。

步骤S24：所述主平台对接收到的上述信息进行认证，并在认证通过后通知所述子平台。

步骤S3：若用户完成注册，则在所述主平台上分别完成对所述主平台和子平台的登录操作。

在步骤S3中，所述登录操作具体包括如图4所示的以下步骤：

步骤S31：用户发送登录请求至所述主平台，所述主平台对用户信息进行认证。

步骤S32：上述认证通过后，用户登录所述主平台，所述主平台将各所述子平台生成的令牌写入Cookie中。

步骤S33：用户发送登录请求至所述子平台，所述子平台对所述Cookie中的令牌进行匹配认证，若认证通过，则授权用户登录所述子平台，若认证未通过，则拒绝用户登录所述子平台，并生成相关提示信息。

在上述单点登录方法中，所述主平台和子平台之间相互传递的信息需要经过相应的加密和解密操作。

所述加密操作中的明文结构为：时间戳+干扰因子+需要传递的信息。其中，所述时间戳是指从格林威治时间1970年1月1日0点0分0秒以来的毫秒数，所述干扰因子为随机生成的包含由大小写字母A～Z，a～z，以及数字0～9组成的字符串。通过上述操作，被加密的信息中均包含有时间戳，因此，所述主平台和子平台对接收到的所有信息都可以进行时间校正，为了防止重放攻击，当检测到的时间差超过合理值得则自动认证未非正常数据，并对其进行隔离处理。所述主平台和子平台均需对接收到的信息进行安全认证，所述安全认证的内容包括：数据来源URL、时间戳、解密后的原文是否含有相一致的干扰因子以及解密后的原文是否符合参数要求。

所述子平台分别设置有密钥和初始化向量，所述密钥和初始化向量由各子平台的管理员进行更新，且所述子平台对所述更新操作进行定期提醒。

上述密钥和初始化向量的更新操作具体包括如图5所示的如下步骤：

步骤S41：所述子平台生成新的密钥和初始化向量；

步骤S42：所述子平台将所述新的密钥和初始化向量和旧的密钥和初始化向量经加密操作后传递至所述主平台；

步骤S43：所述主平台将接收到的上述信息进行解密和认证，并在认证通过后，将所述旧的密钥和初始化向量经所述新的密钥和初始化向量加密后传递至所述子平台；

步骤S44：所述子平台将接收到的上述信息进行解密和认证，若认证通过，则完成所述密钥和初始化向量的更新操作，若认证未通过，则重复进行步骤S42及其以下步骤。

本发明的具体实施方式有如下有益效果：

上述实例只为说明本发明的技术构思及特点，其目的在于让熟悉此项技术的人是能够了解本发明的内容并据以实施，并不能以此限制本发明的保护范围。凡根据本发明精神实质所做的等效变换或修饰，都应涵盖在本发明的保护范围之内。

Claims

1.一种使用单点登录系统进行单点登录方法，用于多系统平台的单点登录，所述系统平台包括主平台和子平台，所述单点登录系统包括：

信息存储装置，用于存储用户的注册信息；

数据传输装置，用于所述主平台和子平台之间信息的传输；

其特征在于，所述方法包括如下步骤：

（1）通过反向代理技术将所述子平台映射成所述主平台的子功能模块，并且开启对所述子平台的Cookie转移功能；

（2）若用户未完成注册，则在所述主平台上分别完成对所述主平台和子平台的注册操作，若用户完成注册，则在所述主平台上分别完成对所述主平台和子平台的登录操作；所述方法步骤（2）中注册操作包括如下步骤：

（a）用户在所述主平台上输入用户信息；

（b）用户选择需要登录的子平台，所述主平台将所述用户信息传递至所述子平台，用户通过所述主平台向所述子平台输入附加信息，所述子平台对所述用户信息和附加信息进行认证；

（c）上述认证通过后，所述子平台生成令牌，并将所述令牌、用户在所述子平台上的ID以及用户在所述主平台上的ID传递至所述主平台；

（d）所述主平台对接收到的上述信息进行认证，并在认证通过后通知所述子平台。

2.根据权利要求1所述的方法，其特征在于所述方法步骤（2）中登录操作包括如下步骤：

（Ⅰ）用户发送登录请求至所述主平台，所述主平台对用户信息进行认证；

（Ⅱ）上述认证通过后，用户登录所述主平台，所述主平台将各所述子平台生成的令牌写入Cookie；

（Ⅲ）用户发送登录请求至所述子平台，所述子平台对所述Cookie中的令牌进行匹配认证，若认证通过，则授权用户登录所述子平台，若认证未通过，则拒绝用户登录所述子平台，并生成相关提示信息。

3.根据权利要求2所述的方法，其特征在于所述方法中主平台和子平台均对需要传递的信息进行加密操作，并对接收到的加密信息进行解密操作；所述加密操作中的明文结构包括时间戳、干扰因子以及所述需要传递的信息。

4.根据权利要求3所述的方法，其特征在于所述方法中主平台和子平台均对接收到的信息进行安全认证，所述安全认证的内容包括：数据来源URL、时间戳、解密后的原文是否含有相一致的干扰因子以及解密后的原文是否符合参数要求。

5.根据权利要求4所述的方法，其特征在于所述方法中子平台分别设置有密钥和初始化向量，所述密钥和初始化向量由各子平台的管理员进行更新，且所述子平台对所述更新操作进行定期提醒。

6.根据权利要求5所述的方法，其特征在于所述方法中对所述密钥和初始化向量的更新操作具体包括如下步骤：

（A）所述子平台生成新的密钥和初始化向量；

（B）所述子平台将所述新的密钥和初始化向量和旧的密钥和初始化向量经加密操作后传递至所述主平台；

（C）所述主平台将接收到的上述信息进行解密和认证，并在认证通过后，将所述旧的密钥和初始化向量经所述新的密钥和初始化向量加密后传递至所述子平台；

（D）所述子平台将接收到的上述信息进行解密和认证，若认证通过，则完成所述密钥和初始化向量的更新操作，若认证未通过，则重复进行步骤（B）及其以下步骤。