（通信与信息系统专业论文）xml安全认证协议及单点登录系统的研究.pdf

摘要 摘要 本文首先介绍了x m l 的基础知识并在此基础上表述了x m lw e bs e r v i c e 体系结构组成，对几种形成标准的x m l 安全认证协议进行了研究。接着，论文从 介绍单点登录的各种标准方法入手，引入了基于s a m l 的单点登录系统。最后论 文指出此系统不够完善的地方，提出了采用p k i 机制，通过发放数字证书实现系 统的安全通信环境的建立的新的设计方案，给出了新方案的消息交换及处理流程， 并在此基础上分析了新系统在性能上有怎样的提高，并对新咱勺单点登录模型讨论 了其安全性。 本文得到的主要成果如下： 1 对以x m l 技术为基础的x m lw e bs e r v i c e 体系进行了明确的表 述： 2 对s o a p 技术的安全性扩展进行了研究，并将x a c l 应用到一个具体 实现中讨论其原理及应用，归纳了s a m l 体系结构并总结了s a m l 的工作原理； 3 对自由联盟协议的单点登录系统采用p k i 机制进行数字证书的发放以 完善其安全的通信环境的建立，给出改进后的系统的消息交换和处理 过程，分析新系统的系统性能如何获得优化，并详尽地讨论了对新系 统进行安全攻击的不可实现性； 4 对现实中s a m l 的误解从多方面进行了澄清； 5 提出计算网格中对p k i 的应用来解决单点登录问题。 关键词：可扩展标记语言x m l w e b 服务x m l 安全认证协议安全声明标 记语言公钥基础设施单点登录 a b s t r a c t a b s t r a c t i nt h i s p a p e r ，i tp r e s e m st h eb a s i ck n o w l e d g eo fx m l ，x m lw e bs r e v l c e s y s t e ma n dx m l r e l a t e ds e c u r ea u t h e n t i c a t i o nt e c h n i q u e s t h e n ，t h ep a p e ri n t r o d u c e s s e v e r a ls t a n d a r d so f s i n g l es i g n o ha n dt h es c h e m e o f s i n g l es i g n - o nb a s e do ns a m l i n l i b e r t y a l l i a n c e p r o t o c 0 1 f i n a l l y , s o m ei m p r o v e m e n t sa r ep r o p o s e da n d p k i m e c h a n i s mi sa p p l i e dt op r o v i d ea s e c u r ec o m m u n i c a t i o n e n v i r o n 9 1 e n t t h em a i nc o n t e n t sa r e - 1 x m lw e bs e r v i c eb a s e do nx m lt e c h n o l o g i e sa r e p r e s e n t e d t h o r o u g h l y 2 t h e s e c u r i t y e x t e n s i o no fs o a pi s a n a l y z e d ，x a c li sa p p l i e d i na n c o n c r e t er e a l i z a t i o nt od i s c u s si t sp r i n c i p l ea n da p p l i c a t i o na n ds a m l s y s t e mf l a m e a n di t sw o r k p r i n c i p l ea r ec o n c l u d e d 3 p k ii sp r o p o s e dt ob ea p p l i e di n t ot h es s o s y a e ma c c o r d i n gt ol i b e r t y a l l i a n c e b a s e do i lt h i sm o d e l ，i td i s p l a y si t sn e w m e s s a g ee x c h a n g ea n d d i s p o s a l t h eo p t i m i z i n go fs y s t e mp e r f o r m a n c e i s a n a l y z e d a n dt h e i n f e a s i b i l i t yo f t h es e c u r ea t t a c k si sd i s c u s s e di nd e t a i l s 4 i nm a n y a s p e c t s t h em i s c o n c e p t i o i l so f s a m la r ec l a r i f i e d 5 t h e a d o p t i o no fp k ii n g r i dc o m p u t i n gi no r d e rt or e s o l ；c es s oi s p r e s e n t e d k e y w o r d s ：x m l x m lw e bs e r v i c ex m ls e c u r i t ya u t h e n t i c a t i o n p r o t o c o l s e c u r i t ya s s e r t i o nm a r k u p l a n g u a g e p u b l i ck e yi n f r a s t r u c t u r e s i n g l es i g n - o n 声明y 5 8 3 7 9 s 独创性( 或创新性) 声明 本人声明所里交的论文是我个人在导师指导下进行的研究工作及取得的研究 成果。尽我所知，除了文中特别加以标注和致谢中所罗列的内容以外，论文中不 含有其他人已经发表或撰写的研究成果；也不包含为获得西安电予科技大学或其 它教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的 任何贡献均已在论文中作了明确的说明并表示了谢意。 申请学位论文与资料若有不实之处，本人承担一切相关责任。 本人签名：量型时 日期三竺竺生 关于论文使用授权的说明 本人完全了解西安电子科技大学有关保留和使甩学位论文的规定，即：研究 生在校攻读学位期间论文工作的只是产权单位属西安电子科技大学。本人保证毕 业离校后，发表论文或使用论文工作成果时署名单位仍然为透安电子科技大学。 学校有权保留送交论文的复印件，允许查阅和借阅论文；学校可以公布论文的全 部或部分内容，可以允许采用影印、缩印或其它复制手段保存论文。( 保密的论 文在解密后遵守此规定) 本学位论文属于保密，在一一年解密后使用本授权书。 本人签名：缝塑 导师签名：塑一 日期 2 1 生：2 第一章绪论 第一章绪论 x m l 已经成为一种用于在i n t e m e t 上交换数据的实用机制，它的出现给w e b 服务带来了前所未有的灵活性。本章先从标记语言的发展讲起，讨论了x m l 的产 生背景原因，然后给出x m l 相关安全技术的研究现状，以及在身份管理中对x m l 的应用并引出单点登录的产生，最后介绍了论文的章节安排。 1 1x m l 的产生 早在1 9 8 0 年，s g m l ( s t a n d a r dg e n e r a l i z e d m a r k u pl a n g u a g e ，标准通用标识 语言) 作为一个全世界标准的标识语言，便可以用来定义某一类文件格式，它是一 个国际性标准( i s 0 8 8 7 9 ) ，用来形容和定义结构化的电子文件。由于s g m l 过于详 细和复杂，所以一直没有被广泛地采用。1 9 9 6 年1 1 月，波士顿s g m l 世界年会 产生一项重大变革：与会代表一致公认将目前i n t e m e th o m e p a g e 撰写标准h t m l 宣告终结，取而代之，采用最新的电子文件格式化通用标准x m l ( e x t e n s i b t e m a r k u pl a n g u a g e ，可扩展标识语言) 。 i n t e r n e t 的广泛应用，需要简单易懂的描述语言。作为s g m l 的子集，h t m l ( h y p e r t e x tm a r k u p l a n g u a g e ，超文本标识语言) 应运而生。h t m l 受到i n t e m e t 热潮的推波助澜，很快地就成为制作网页的标准语言。x m l 也是从s g m l 所衍生 出来的简化格式，取名叫做可扩展标识语言的原因主要是有别于h t m l 那种单一 固定的语法，以便制作页面时，有一个更具弹性、更容易添加新功能，而又不失 统一标准的语言格式。相比于h t m l 是s g m l 衍生出来的一种文件格式，x m l 免除了s g m l 的繁琐但仍保持其功能，这使得s g m l 的优秀特性能方便而直接地 被用在w e b 开发上。 严格说起来，x m l 本身不是一个单一的标识语言，它是一种元语言 ( m e t a - l a n g u a g e ) ，可以被用来定义任何一种新的标识语言。像h t m l 之类的传 统标识语言目的在于定义某一类文件的格式，以便于显示；x m l 则旨在创造类 别文件的格式定义，也就是在x m l 之中可以创造出很多不同的标识语言，用来定 义不同的文件类别。 x m l 继承了s g m l 具有的可扩展性、结构性及可校验性，与h t m l 语言相 比，区别主要在三方面： x m l 安全认证协议及单点登录系统的研究 可扩展性方面：h t m l 不允许用户自行定义他们自己的标识或属性，而在 x m l 中，用户能够根据需要，自行定义新的标识及属性名，以便更好地从 语义上修饰数据。 结构性方面：h t m l 不支持深层的结构描述，x m l 的文件结构嵌套可以复 杂到任意程度，能表示面向对象的等级层次。 可校验性方面：h t m l 没有提供规范文件以支持应用软件对h t m l 文件进 行结构校验；而x m l 文件可以包括一个语法描述，使应用程序可以对此 文件进行结构确认。 需要指出的重要一点是，h t m l 与x m l 二者相互之间并不是竞争关系，而是 互相补充的关系。各种浏览器都将能够处理这两种语言，而且将来的h t m l 标准 可能允许在同一文档中混合使用h t m l 和x m l 。 1 2x m l 的安全技术研究现状 安全性领域是网络服务中快速成长的领域。在不同团体之间建立信任关系的 传统方法在公共因特网上已不合适，实际上，在大型l a n 和w a n 上也不合适。 在这些情况下，基于非对称密码术的信任机制可能会非常有用，但实际上，部署 和密钥管理的方便性、互操作性的范围和提供的安全性远不如各种的公钥基础设 施( p k i ，p u b l i ek e yi n f r a s t r u c t u r e s ) 的供应商曾让我们相信的那样。处理层次数 据结构，以及带有机密、访问权限或完整性等不同需求的数据的子集特别困难。 另外，具有不同于x m l 文档的现今标准的安全性控制的应用程序一点都不简单。 目前，一些团体正积极投身于解决这些问题和开发标准的活动中。其中主要 的相关开发是x m l 加密、x m l 签名、可扩展访问控制语言( x a c l ) 、安全声 明标识语言( s a m l 一以前是互为竞争对手的a u t h m l 和s 2 m l 的结合) 和 x m l 密钥管理规范( x k m s ) 。所有这些安全标准的开发都由结构化信息标准促 进组织( o a s i s ，o r g a n i z a t i o n f o rt h ea d v a n c e m e n to fs t r u c t u r e di n f o r m a t i o n s t a n d a r d s ) 推动。尽管i b m 、微软等公司将w e bs e r v i c e 安全标准提交给了 o a s i s ，但一些分析家指出，对安全问题的顾虑仍然是w e b 服务大规模普及的第 一大障碍。i l l 保护x m l 事务的核心问题是寻求和运用合适的安全工具，许多著名公司都在 积极围绕x m l 安全规范推出自己的实现工具。以提供w e b 服务器功能著称的 a p a c h e ，它的x m l 工具也非常流行，像x a l a n 和x e r c e s 这两个项目都是许多需 第一章绪论 3 要x m l 解析的j a v a 应用程序的x m l 基础。除了在解析器上的成功，a p a c l h e 有 一些项目是专门来开发s o a p 、x s l 格式化对象以及现在x m l 安全的。 a p a c h e , - x m l 安全一j 项目提供了一个执行w 3 cx m l 安全规范的免费j a v a 工具。 更为著名的i b m 的a l p b a w o r k s 是一个研究前沿软件技术的强大研发团队， a l p h a w o r k s 开发的x m l 安全组件主要提供了以下功能：数字签名( 及检验数字签 名) ，数据加密和w 3 c 的规范实现。x m l s e c 库是另一个为x l v l l 应用程序提供 安全保障的免费工具组件。同a p a c h e 和m m 的工具包不一样，x m l s e c 库是为c 程序员准备的，用以支持w 3 cx m l 签名和x m l 加密的规范，还支持规范x m l 和专用规范x m l 。此外，x m l s e c 库支持多种加密算法，包括t r i p l ed e s 和a e s 。 x m l s e c 库的w e b 网站上提供工具包下载，该工具包以多种格式供使用，包括源 代码、c v s 、l i n u xr p m 和w i n d o w s 可执行程序。 除了这些免费的工具，有些商业产品也支持x m l 安全特性。b a l t i m o r e 技术 公司的k e y t o o l s 有一个x m l 嵌入组件，支持w 3 c 的x m l 签名规范，并提供一 套完整的基于p k i 的密钥管理系统。w e d g e t a i l 通信公司的j a v ac r y p t o 和安全实现 工具( j c s d 使用x m l d s i g 来支持w 3 c 的数字签名规范。x m l d s i g 采用 h m a c s h a l 为x m l 文档提供数字签名。类似x m u s e c 库，x m l d s 追包括了 个在线互用形式，用毗说明符合这些规范工具的兼容性。 1 3x m l 与身份管理 信息的共享与安全从来都存在着矛盾。要保证信息的安全就要尽量减少信息 的共享，而要保证信息的共享就可能带来安全问题。为了信息共享和安全的兼顾， 就出现了对于身份管理的需求。根据每个人的身份分配适当的权限，使他们只拥 有他们应该拥有的权限，只能访问他们应该访闯的信息，这样就可以有效避免系 统的越权操作和信息的泄密身份管理表面上好像跟制了访闯信息的自由，实际 上保证了信息共享的安全，使信息资源锝到更好的利用 企业内部有很多的信息系统、e m a i l 系统、文件共享服务器、考勤系统等，每 个用户在这些系统上都有账号， 由于系统和用户众多，经常出现用户身份及权限 难以统一控制的现象，导致信息泄露，危害到系统的安全。现在很多公司都意识 到身份管理的重要性，但他们在建立用户管理体系过程中遇到许多问题，首先是 权限的分配，存在普通员工、管理层、股东、供应商和销售商等各种不同的角色。 为了安全，各个不同的角色都会被赋予适当的权限。从安全的角度来说t 每个人 赋予的权限越少，系统的安全性就越好。权限的细度成为关键，能限定只有特定 用户才能执行特定命令的系统要比只能控制用户是否可以登录的系统具有更高的 4 x m l 安全认证协议及单点登录系统的研究 安全性。其次是管理对象的复杂性。现有电子信息、书面信息等多种信息格式， 口令认证、证书认证、工卡认证、指纹识别多种认证方式，l d a p 、数据库、r a d i u s 等多种数据存储形式。最后是权限的变更。公司的每个人有不同的角色，但每个 人的角色是会发生变化的，比如员工升为主管，员工离职，这将带来一系列的权 限变化，因此要考虑如何及时更新用户的权限。 针对用户对身份管理的需求，i b m 、m i c r o s o f t 、n e t g r i t y 、o b l i x 等主流厂商纷 纷推出身份管理解决方案。他们的产品在解决以上问题方面作了有益的尝试，提 供全套的解决方案，并且具备适应各种企业的灵活性和可管理性，能够得到快速 的部署。 身份识别和访问管理是r r 基础架构中非常基本的部件。实际上，如果没有有 效的身份管理，企业很难构建完整的信息化企业。身份和访问管理是构建可扩展 信任环境的基础，并且需要提供灵活的、基于策略的管理摸式。这对于企业来说 是减少风险的必经之路。随着基于i n t e m e t 的商业协作和商业流程的建立，这种对 用户的管理和访问进行控制的需求将更加明显。 身份管理是一个谈论已久的话题。在以前的描述中，身份管理曾经被简单地 认为是目录管理，或者简单地对用户身份进杼数据库式的线性管理。现在，真正 的身份管理，已经发展为包含认证机制、密码管理、w e b 和企业网上的单点登录 ( s s o ，s i n g l es i g n o n ) 、账号管理、集成身份访问控制等非常全面的企业安全技 术。要对所有的身份处理提供实时的证书验证、集中的客户管理、持续的隐私保 证以及详细的审计跟踪。在此基础上，需要提供基于策略的处理以及分布式、负 载平衡的吞吐量管理。另外，还需要无缝集成l d a p 和x 5 0 0 目录服务以及相关 的p k i 要素。 身份管理系统近些年发展很快，现在有扩大范固的趋势。身份不只局限在一 个公司内部，公司之间联合身份认证的需求不断出现，解决如何在公司之间实现 单点登录现已成为热门。在解决认证和单点登录问题方面，报多流行的新技术被 采用，这其中包含k e r b e r o s 、p k i ，结合了x m l 标准以及w e bs e r v i c e 安全规范 的标准也正在制定中，这是未来发展韵一个方向。 通过提供单点登录，可自动实现安全地访问基于浏览器、客户机朋艮务器以及 传统设备的应用程序，并且可消除当今r r 安全领域最大的、造成高额成本支出的 安全难题持有多个i d 的密码闯题。 本论文就是在研究x m l 安全认证协议的基础上，阐述利用s a m l 的单点登录 系统模型，并对此系统提出完善与改进，建造了一个架构于p k i 之上的单点登录 系统，改善了系统性能并具有较高的安全性。 本论文受到国家自然科学基金x m l 安全认证协议研究项目( 6 0 1 7 3 0 5 6 ) 资助。 第一章绪论 5 1 4 论文章节安排 本论文主要针对x m l 在w e b 服务中应用时涉及的相关安全访问控制问题进 行了研究，并对较为成熟的几种安全规范进行了详细的介绍。在此基础之上，我 们对基于x m l 安全规范之一一一x m l 安全声明标记语言( s a m l ，s e c u r i t y a s s e r t i o nm a r k u p l a n g u a g e ) 的单点登录系统进行了介绍，并提出了采用p k i 进行 密钥管理和证书使用以增强系统的安全性能的实现方法，提出对原有系统的改进 方案。主要内容和安排如下： 第一章对x m l 产生背景和其安全技术研究现状进行了简要描述，并针对身份 管理问题进行分析，最后引出单点登录对于身份管理的意义所在。 第二章主要介绍x m l 和w e b 服务以及相关的知识。首先介绍了x m l 的基础 知识，然后引入了相关的一些重要技术，如x s l ，d o m ，x l i n k ，这些基础知识 和相关技术是进行x m l 研究的基础。针对x m l 受到重视程度的日益增长，论文 总结了x m l 的应用分类。最后介绍了在x m l 基础上发展起来的w e b 服务，它是 一种崭新的分布式计算模型，使得x m l 语言在w e b 上得到更加广泛的应用。 第三章讨论相关的x m l 的安全认证技术和相关标准。除x m l 签名和s a m l 以外，还讨论了x a c l 和s o a p ，并以客户关系管理系统( c r m ) 为模型探讨了 x a c l 在c r m 中的具体应用，以及对s o a p 的安全性扩展进行了分析研究。 第四章主要介绍单点登录的的现有标准和实现方案，并在此基础上引出自由 联盟组织单点登录方案的实现，最重要的是它采用最近颁布的单点登录的 实现标准s a m l 来进行认证授权消息的传递。在此基础上，提出格式完整的 s a m l 请求，响应消息示例。 第五章指出自由联盟提出的方案的不足之处，针对该方案给出一种利用p k i 进行密钥管理和证书的解决方法。本章先介绍了p k i 标准，然后讨论如何利用p k i 进行密钥管理与证书使用，分析了采用p k i 机制的系统如何进行消息交换和处理， 分析了系统性能和安全性。其次对现实中s a m l 容易引起误解的细节部分进行了 澄清。最后展望了单点登录在新兴的计算网格方向的应用前景。 一釜三里茎塑兰皇型量曼! 曼垦! 曼! 第二章x m l 与w e bs e r v i c e x m l 是近年来十分热门的标记语言，由于语言结构具有弹性，扩展性强，并 且容易描述各种文件数据，适用于各行各业中。本章我们将介绍x m l 基本概念， x m l 三要素及x m l 的应用范畴，最后讨论x m lw e bs e r v i c e 架构。 2 1x m l 基础知识 下面以一个简单i 拘x m l 文档为例对x m l 语法进行说明。 x m l 文档由x m l 元素组成，元素包含开始标签和结束标签。标签之间的信 息称为元素的内容。x m l 文档中的标签表示数据的含义而不是数据的显示形式。 一个x m l 元素可以包含子元素。在图2 1 1 中， 是 的子元素， ， ， 是 的子元素。每个x m l 文档都包含一个根元素，它是包含了文档所有内容的 最外层元素。【2 j x m l 元素还包含由属性描述的信息。元素的属性内嵌于元素的开始标签里， 由名称和属性值组成。元素 包含属性c a t e g o r y 。 l v e r s i o n 掌 1 0 ”7 ! d o c t y p e b o o i c s s y s t e m b o o k s 哩三 a t e ； o n i g e l r e e s 一一噜 s a y i n g st h ec e n t u r y 8 9 5 e v e l y nw a u g h c 4 a u t h o r s w o r do f h o n o u r 1 2 9 9 图2 1 1x m l 文档 从例子可以看出，一个x m l 文件必须满足以下三项基本规则3 】： 文档以x m l 定义开始。1 0 表示其版本编号； 8 x m l 安全认证协议及单点登录系统的研究 有一个包含所有其它内容的根元素，如上面例子中的 标记符： 所有元素必须合理地嵌套，不允许交叉嵌套。这在h t m l 中可能不算什么， 因为浏览器已经被设计成可以处理这种问题。但是在x m l 中却是致命的 应用程序将拒绝处理没有组织好的文件。 x m l 不是一项独立的技术，它包含了一些相关技术，例如x l i n k ，x p o i n t e r ， x p a t h ，x s l ，x m l q l ，d o m ，s a x ，x m l 模式( s c h e m a ) 和名称空间( n a m e s p a c e ) 。 但是只需要了解其中的三个就可以了解它是怎样工作的，它们分别是 d t d ( d o c u m e n tt y p ed e f i n i t i o n ，文档类型定义) ，也就是x m l