【《校园网的信息安全方案设计》16000字】

校园网的信息安全方案设计目录TOC\o"1-3"\h\u31900摘要 I10302引言 1248331

概述 220721．1

研究背景 291881．2

研究意义 2198991．3

研究现状 318432

身份认证技术简介 4270782．1

统一身份认证技术 4146672．2

单点登录 5144502．3

轻型目录访问协议 6142192．4

统一建模语言 6131882．5

本章小结 7181743

需求分析 8237553．1

系统可行性研究 8141783．2

系统总体需求分析 8280533．3

系统框架图 9274643．4

子模块需求分析 9314213．5

系统角色用例 10139253．6

本章小结 11313004

系统设计 12274754．1

系统结构设计 12160174．2

系统详细设计 13318144．2．1用户管理 13237544．2．2身份认证设计 16282944．2．3系统应用管理 19242974．2．4安全事件信息采集 2078574．2．5

权限管理 21264824．3

系统数据库设计 2210404．4

本章小结 26235525

总结 27摘要：随着国家大力推行将信息化时代的网络机遇和教育工作相结合，校园网在我国的发展也逐渐走向成熟。由于不同高校对校园网的需求不同，校园网中存在可以实现不同功能的子系统且每个系统独立存在，如图书管理系统，选课系统等。这样用户需要使用多个不同的账户密码登录不同功能的系统，给用户的记忆增加负担，同时由于每个系统的相互独立，管理员需要修改维护所有系统的用户信息，琐碎的用户信息给管理员的管理也带来了极大的不便。信息数据的复杂性和多样性导致系统出错性随之增加，也对校园网的安全也构成一定的威胁。因此想实现各子系统之间互相关联，且用户只需登录一次即可访问所有权限系统，这就需要建立一个可以实现单点登录的统一身份认证系统，减少校园网络信息安全带来的负面影响。通过LDAP目录服务协议存储系统用户信息，使用认证中心验证动态口令从而实现单点登录。系统主要流程为：用户输入用户ID和密码口令进行用户认证，与后台数据库服务器对比通过后，认证服务器向客户端发送一串随机字符验证码，用户接收到验证码后在文本框进行输入，给认证服务器对比审核。若对比通过，则用户认证成功可访问系统一。而单点登录的成功关键在票据token的对比，若其他子系统检查用户的token合法，则账户关联成功可实现单点登录。通过对用户的身份认证，减少了校园网面临的攻击，使校园网的信息安全得到保障。关键词：统一身份认证技术

单点登录

UML统一建模语言

引言二十一世纪到来后，互联网技术的迅猛发展，给人们带来了一个高效率、范围广、跨空间的网络信息时代。尤其是近几十年，互联网成为了我们生活中必不可少的一名成员，智慧化、科技化的社会体系也正在被建立完善。同样，高校的教育、管理工作也无法缺少互联网的支持。信息化时代开启后，国家大力倡导各大高校进行“智慧校园”的发展，从此，和传统的学习方式相比较，网络学习占的比重越来越大。学校针对校内工作的各种需求建设应用系统，完善学校工作制度，提高校内办公效率。由于我国软件系统技术实力欠缺，高校软件应用系统发展不成熟，校园网的每个部门系统无法和其他系统联系起来，导致学生使用校园网访问不同应用时需要多次登录，造成管理负担。同时由于用户信息的分散存储和网络结构的不断复杂也导致严重的安全隐患，网络恶意攻击无处不在。网络安全已经成为影响国际安安全的一个重要因素，当今社会信息安全越来越受到重视，尤其是对硬件设备设施不完善、抵抗能力差的校园网络来说，他们更容易遭受黑客等不法分子的恶意攻击。为此，各大高校校园网系统应该实施建立一个统一身份认证系统，只需要实现一次身份验证就可以访问所有校园网应用系统的单点登录。单点登录的实现必须要通过身份认证检验，请求登录系统的用户首先输入用户ID和密码，系统服务器验证通过后，发送给用户端一个随机字符验证码，随后用户在文本框输入验证码，后台服务器检查验证码的合法性。通过这样的用户名密码和随机验证码的双重验证后，才可实现的多系统权限相关联的单点登录。通过这种方法对不同系统的用户进行统一管理和身份认证，将智慧化校园作为一个整体进行统一管理，既提高管理者的工作效率，又可以加强信息化建设的安全性。

1

概述1．1

研究背景当前，互联网广泛应用于人们生活、学习、娱乐、工作等各个方面，校园也不例外。近年来,我国将教育信息化的工作作为重中之重,提出要加快教育现代化，加快推动教育信息化转换升级，积极推进“互联网+教育”。随着互联网技术的飞速发展，使得智能化技术和校园体系二者相结合，产生了校园网。校园网是一种宽带多媒体网络，它以信息数字化和计算机网络作为基础，为校内师生提供教学活动、科学研发以及综合服务，是学校进行日常教学工作不可缺少的平台，高校教育水平的高低在一定程度上可以通过校园网发展水平的高低反映出来。高校利用计算机互联网技术开展教学活动，管理学生信息，共享教学资源，极大促进了各所高校的工作效率，微校园工作提供便利条件。校园网的广泛使用使各级各类学校的信息化工作得到了极大地推动，校园网里的信息越来越繁多,内容愈加丰富，应用也愈加广泛，成为校园办公、教学必不可少的一项基础设施。在校园网技术得到学校广大师生青睐的同时，也吸引了黑客的注意。虽然近几年高校信息化建设逐渐成熟，但是抵御入侵能力仍然较弱，在防火墙、入侵检测系统等设备配置方面投入相对较少，很容易受到黑客等不法分子的攻击。首先，网络系统中的服务器、操作系统、防火墙等方面都存在大量安全漏洞，许多不法分子利用这些漏洞对操作系统进行攻击，导致校园网出现网络瘫痪等各类安全问题。其次，计算机病毒攻击性隐蔽性强，传播范围广、病毒存在计算机内潜伏期长，对计算机硬件造成的破坏力较大，直接影响着系统的正常运行，使网络效率下降，这更是影响校园网络安全的主要因素。因此教育信息化的建设必须要拥有一个稳固的高质量的网络安全保证。由此可见，加强对校园网的信息安全管理是十分必要的。为使智能化校园网的实际应用价值最大化并保证校园网的安全，本文将设计一个实现用户单点登录的统一身份认证系统，以此实现用户的统一认证与管理。一方面能够降低校园网安全风险，另一方面可以提高了息管理效率。1．2

研究意义计算机互联网的出现一方面便利了人们的生活，可同时也增加了许多安全隐患，尤其是校园网防御抵抗攻击能力差的高校存在的安全隐患更多。例如仍然存在没有把校园网建设同用户身份认证管理等方面结合起来的安全隐患。智慧化校园不仅要满足用户的日常操作需求，同时他们的个人信息也需要得到安全保障。身份认证是指对登录系统的用户身份进行核实、查证，与校园网系统内的数据库对比，检验该用户身份是否存在且合法。目前大多数高校校园网采用的是高效率省资源的信息化管理，他的优点是权限范围内，用户可以实现远程管理。但不同权限的可访问的系统应用不同，对应的安全级别也不相同，导致在校园网系统内访问某些应用时需要进行多个账户ID密码口令登录，给用户的使用带来了不便，也削弱了信息化管理的优势，不能发挥信息化管理的全部优点。本课题将立足于设计实现单点登录的统一身份认证系统方案，对用户进行统一身份认证、管理，既为校园网的信息安全提供基础保障，也提高了校园网的使用效率和安全性，加快高校的信息化建设进程，有助于高校教学水平等各方面的提升，推动“互联网+教育”更快速高效的发展。1．3

研究现状国外的互联网发展较先进，身份认证技术也更加发达，上世纪七十年代，数字化校园这一概念就已经被麻省理工学院提出，加上国家和政府对高校学生教育的大力支持，国外的校园网在教学水平和信息安全等方面飞速发展，近年来也逐渐从陌生走向成熟。因此国外出现了很多身份认证系统，如微软的Passport认证系统等。国内大部分高校校园网系统还使用用户ID和静态密码登录的传统登录方式，这种简便的登录方式存在着很大安全隐患，我们应该借鉴国内银行系统或QQ的登录系统的身份认证技术，提高校园网的信息安全。例如QQ登录，用户登录时先输入用户名及密码，验证成功后系统向用户登记过的密保手机发送一条短信验证码，用户输入短信验证码通过后，方可成功登录自己的QQ帐号。除了发送随机字符验证码的验证方式，很多银行系统也在使用USBKey等方式，虽然安全性高，但使用成本也高昂，不适合校园网使用。故在设计统一身份认证系统时使用随机验证码的方式对用户身份进行校验，既节省成本又能提高网络安全。

2

身份认证技术简介2．1

统一身份认证技术身份认证是通过一定的手段对用户的身份进行检验确认，即检查用户身份是否合法的过程，是网络安全管理的重要基础之一。普通的身份认证通过用户输入的用户名和密码，和数据库中存储的用户名及密码口令进行对比，一致则身份认证通过，否则登录失败。一些复杂的身份认证系统还采取私钥加密等加密方式，提高身份认证的可信度及系统安全性。常见的身份认证技术有Kerberos认证技术、X.509认证技术等。常见的认证方式：静态密码在登录时向系统输入自己设置好的用户名和密码，若用户名对应的密码正确，系统认为此用户合法。这种方式对用户和系统来说操作十分简单，但是安全性较低。大部分用户为了防止自己忘记密码，会选择使用生日或电话号码等易被猜出破解的字符串作为自己的密码，导致密码泄露严重。用户输入账户密码提交给系统审核，在这期间很可能遭受到不法分子的被动攻击，传输中途将密码截获。因此从安全角度看，静态密码安全性低，是一种不安全的身份认证方式。动态口令此方式是当今网银、电子商务、企业等领域普遍采用的一种认证技术。用户访首先问系统登录页面，输入用户ID和口令，提交等待系统验证。这个过程中的动态口令数据是动态变化的，仅在某短时间内存在合法性。系统根据用户标识符计算用户口令，与收到用户输入的口令后进行对比，验证此用户是否为合法用户。用于生成动态口令终端有：硬件令牌：基于时间同步的硬件口令牌是目前最主流的方式，动态口令一次一效，每次间隔60秒变换一次，每次变换后都会产生6-8位动态数字。手机令牌：是一种基于时间同步的手机客户端软件，每次间隔30秒产生一个6位随机动态密码。口令产生过程不产生通信费用，此方式具有很多优点，如：使用简单，成本低，安全性高，易获取，不需要携带额外设备等。短信密码：使用手机短信方式，请求包含6位或更多位数的随机数动态口令，验证码以短信形式被身份认证系统反馈给用户并发送到用户的手机上，客户端在登录时输入此动态口令。口令分类同步口令技术时间同步令牌和服务器时间同步要求每60秒更新一次，产生一个新的口令。由于时间偏移，令牌服务器必须要保持准确的时钟，且对令牌的晶振频率的要求也十分严格，这样一来边使系统失去同步的几率得以降低。令牌在磁场、高温、高压、震荡等不同的工作环境中，极易发生时钟脉冲偏移和损坏，所以要保护好时间同步令牌。同时也要保护好系统时钟，不能随便更改时钟，以免发生影响令牌的同步问题。事件同步原理：将某一事件的次序、相同的种子值作为输入，可以在算法中计算得到相同的密码。每个码流独立于时钟，不受时钟影响。异步口令技术又称挑战-应答技术。基本思想：通信双方具有相同的方法来产生口令，且用户身份信息也相同，用户发出登录申请时，认证方产生并提供给用户一个随机口令，用户将通过此数据和自身的身份信息构造出口令，并将口令提交给系统，系统将对此口令进行认证。认证服务器提出challenge挑战，challenge被用户输入令牌，接下来计算response应答值，计算完毕交给认证服务器，并等待服务器回复。对于异步令牌来说，令牌和服务器只在相同的算法上实现了同步，其他不需要达到同步要求。这样有效解决了令牌的失步问题，系统可靠性增强。但使用异步口令时，因为用户需要输入挑战值，使得操作步骤复杂度增加。特点动态口令具有动态性、随机性、一次性、不可复制性、抗穷举性、方便性等特点。但同时也具有一些安全隐患：使用的安全工具受到人为因素的影响；每种安全机制具有一定的应用范围和环境；黑客的攻击手段在持续更新。数字签名此方式又称为电子加密，能够区分真实数据与伪造或被篡改的数据。一般采用摘要技术，采用哈希函数提供的计算过程：输入一个不定长的字符串，经hash函数计算后返回一个定长字符串。将长的报文转换为定长的报文。生物识别对人体的生物信特征息进行测量记录，通过生理信息进行身份认证。生物特征是唯一识别、验证的生理特征。此方式采用传感器读取生物信息，将生物信息与数据库存储的信息对比，信息一致则通过验证。目前最常见的生物认证方式有智能手机的指纹识别、虹膜识别、声音识别等，主要应用于手机黑屏解锁、手机支付等。生物识别方式目前比较安全，同时给人们的生活也提供了很多便利之处。2．2

单点登录单点登录简称SSO,一般应用于用户仅需登录一次，便可以访问系统中互相信任的多应用系统。一个SSO系统中有三个角色：用户、应用系统、认证中心。所有的认证登录都在认证中心验证，认证中心检测用户身份是否合法，系统应用必须要信任认证中心。用户第一次访问应用系统时，需要进行用户登录对身份信息校验。若校验通过，用户将会接受到一个认证凭据ticket。在访问其他系统应用时，系统将使用接收到的ticket作为认证凭据检查用户合法性。若校验通过，用户则可以访问其他系统应用，不需要重复登录。早期开发Web应用将所有的包放在一起变成war包，将它放入tomcat容器运行，所有功能、业务管理、门户界面都由war包支持，此方式称之为单应用，也叫巨石应用。在此方式下，用户登录成功后把相关信息放入会话，http维护此会话，以后每次用户请求服务器时验证此会话即可。由于网站访问量的增加，单机部署已经不能满足用户需求，这就出现了分布式集群部署。一个单应用可能重新部署在三台tomcat服务器，此时session无法在三台tomcat共享信息，导致用户信息丢失，所以必须考虑多台服务器的session同步问题，由此单点登录即将出现。采用单点登录有很多优点，首先用户仅需记住一个用户名ID及密码口令，通过验证后即可以访问系统内所有应用；其次一个用户拥有多个账户信息不利于管理员对用户的管理，使用单点登录减轻了管理员的管理负担，提高了管理效率。实现单点登录有三种方式：基于父域Cookie的单点登录此方式是实现单点登录最简单的方式。用户访问登录父应用后，应用返回加密的cookie，若用户访问子应用，使用接收到的加密cookie，授权应用对此cookie校验，检验通过后则可访问授权子应用。但此方式不能实现跨域登录，cookie不能共享。基于认证中心的单点登录此方式下用户再认证中心登录成功后，记录下用户登录状态，将token传入认证中心，系统检查当前请求有无token，若没有则用户尚未登录系统，返回登录页面，用户可进行登录。反之检查用户登录成功后，认证中心生成一个token传给系统应用，应用系统接收到token后向认证中心确认合法性。确认不是用户伪造后，系统记录用户登录状态，允许访问系统。此方式扩展性好，支持跨域。基于安全断言实现安全断言标记语言用于两个工作，即在不同安全域间的交换认证和授权数据工作。它简化了SSO，被批准为SSO的执行标准。、本系统设计采用基于认证中心的单点登录方式，使用LDAP目录服务协议存储用户的账户信息。2．3

轻型目录访问协议轻型目录访问协议简称LDAP，在统一身份认证系统中协助存储用户认证、身份信息、权限等。目录服务是实现信息管理和服务接口的一种方式，并且是一个特殊的数据库，他保存描述性的且基于属性的详细信息，并支持过滤搜索功能。目录服务技术能够协助统一身份认证系统存储用户信息，数据存储采用树状层次结构。使用LDAP目录服务器对多个应用的用户进行集中管理，避免在使用每个系统时都需要记录独立的账号密码，使每个应用通过LDAP和目录服务器进行通信，进而达到集中管理用户信息的目的。X.500目录服务是一种用于开发组织内部人员电子目录的标准，在此目录结构中使用目录访问协议DAP，对于服务器目录服务中服务器的响应请求，客户机进行查询且接收，由此服务器与客户机的通信控制得以实现。X.500中每个本地目录称为目录系统代理DSA，它也是一种数据库，数据库中存储了目录信息，采用分层格式从而快速高效检索。X.500具有以下特征：分散维护：每个运行X.500的站点只需负责本地目录部分，即可以及时更新维护操作。搜索性能强大：支持用户的任意复杂查询。单一全局命名空间：给用户提供但以相同命名空间，命名更灵活且易扩展。结构化信息结构：目录中定义了允许进行本地扩展的信息结构。基于标准的目录服务由于X.500目录协议实施过于复杂，科技人员推出一种简单的基于TCP/IP的DAP新版本协议，即轻量级目录访问协议。LDAP是基于X.500标准的轻量级目录访问协议（X.500是一套目录服务标准），呈树状结构组织数据，类似文件目录。LDAP以条目作为存储、组织的基本数据结构，每个条目都有唯一标识符并存在相关属性，类似数据库中每一行对应代表一条数据，且有一项是唯一标识。使用C/S模式来管理和检索目录信息，和X.500相异LDAP基于TCP/IP协议，若要访问Internet，必须使用LDAP协议。LDAP目录和关系数据库都是基于属性的、具有描述性的记录集，二者十分相像，。LDAP主要数据类型有二进制数据、字符型、CIS、CES等。LDAP服务器由三部分构成，一是目录服务模块，此模块分为前端和后端，且分工有所不同。前端主要完成网络通信及协议解析，后端完成目录数据库的管理；二是管理服务模块，此模块主要用于管理目录信息，使用户得到的目录信息在安全性、一致性、完整性上准确无误；三是复制服务模块，完成复制LDAP服务期间的目录数据工作。LDAP主要业务是数据查询，不提供数据处理机制。LDAP工作原理：LDAPClient提交目录服务请求，经过TCP/IP的处理，程序编程接口将访问操作、参数传给LDAP，经过服务器和目录连接后结果返回给客户端。LDAP目录服务特点：快速灵活查询：检索操作目录由国际标准定义，信息查询快速灵活。分布性：目录呈树状分布式结构，使得实现分级管理，同时也使目录信息的总体结构一致。平台无关性：目录服务使用的是OSI网络七层结构模型通信协议框架。此模型适用于所有平台，故目录系统是开放性的、与平台无关的。安全性：目录系统向管理者提供控制用户存取的权限方案精密，使得条目信息更加安全，方便管理员对用户信息的管理。易扩展性：大小规模的查询都可以使用目录系统提供的服务实现，目录系统很容易实现目录扩展。LDAP目录服务模型：命名模型：表明数据的组织方式及如何定位条目。信息模型：即LDAP的表示方式。LDAP目录服务协议的信息以树状形式存储。安全模型：通过身份认证、访问控制、安全通道三种方式实现。功能模型：LDAP一共包含10种操作方式，分为查询、更新、认证、扩展四类操作。2．4

统一建模语言统一建模语言是一种图形语言，描述了软件密集型系统的制品，但不局限于对详述、可视化、构造和文档化的描述，英文全称UnifiedModelingLanguage，简称UML。该语言是一种定义良好、已与表达、功能强大且普遍适用的建模语言，在开发阶段、说明、可视化、构建且书写面向对象软件系统的开发方法。统一建模语言帮助软件开发的设计人员缩短设计时间，并有效分割软硬件。他不仅适用于大型集成系统的开发，也适合小型系统的开发设计。UML一共有十种图：静态结构使用静态模型图来描述。静态模型图分别为类图：表示不同实体间的关系，可用于表示逻辑类、实现类，显示了系统的静态结构。对象图：显示了某时刻一组对象和他们之间存在的关系。对象图是类图的实例，但二者不同之处在于：对象图不显示实际的类，而显示类的多个对象实例，且对象图存在生命周期只在系统某时间段内存在。包图：将类组合成包packages就可以简单表示复杂的类图，UML上具有逻辑关系的元件集合组成一个包，称之包图。组件图：用来显示系统中的软件对其他软件组件的依赖关系并为系统提供物理视图。部署图：描绘软件系统在硬件环境中如何被部署，它显示了系统的不同组件在何处物理运行，以及如何通信。使用动态模型图用来描述系统行为的各个方面。动态模型图分别为用例图：对系统、子系统或类的功能行为进行建模，展示了用例之间和用例参与者间的关系。主要目的是以一种可视化方式帮助开发者理解系统功能需求。时序图：又称序列图，时序图描述了不同对象在流程中他们之间的调用关系，还展示出不同对象的不同调用。时序图具有两个维度，按照已经发生的时间顺序来显示消息，此方式称为垂直维度；显示消息被发送给的对象实例，此方式称作水平维度，。协作图：对交互中有意义的对象和他们之间的链进行建模，使用几何排列的方式表示交互中的每个角色。消息用附在类元角色上的箭头表示，消息箭头处的编号表示消息发生顺序。活动图：适用于处理某活动时两个或更多类对象间的过程控制流，多用于高级别的业务过程建模。状态图：用来表示某个类的不同状态和它对应的状态信息。状态图初始起点用实心圆绘制表示，状态用圆角矩形表示，判断点用空心圆表示，一个或多个终止点用内部包含实心圆的圆表示。其中UML包含四中关系：关联、依赖、实现、泛化关系。UML系统开发中有三个主要的模型：

功能模型：从用户的观点出发，向大家展示系统的功能，如用例图。对象模型：采用对象，关联，属性，操作等概念展示系统的结构和基础，如类别图、对象图。动态模型：展现系统的内部行为。如序列图，活动图，状态图。本系统采用用例图对角色用例区分设计，采用时序图对系统进行详细设计。2．5

本章小结本章叙述了统一身份认证系统涉及的LDAP协议、SSO等相关技术原理，并介绍了系统开发使用的统一建模语言UML，结合建模语言中不同的图示为接下来的需求分析及系统设计奠定理论基础。本章起始介绍的统一身份认证技术是本文编写需要学习掌握的较为重要的技术。通过对身份认证方式的了解和学习，本文决定采取基于动态口令的随机验证码方式，实现系统身份认证；其次研究了单点登录的发展、优点和实现方式，选择基于认证中心对用户进行认证，希望能够实现单点登录。

3

需求分析3．1系统总体分析3．1．1可行性研究校园网的主要目的是用户查询校园信息、使用系统应用，同时也可以提高管理者管理用户信息的效率。对于管理员来说，传统的信息查询方法工作量大且出错较多，有的用户信息信息更新不及时，导致错误率变高，影响工作效率。但使用校园网系统，管理员可以即时查看用户更新后的个人信息。同时，学生和教师也可以在系统查询课程、资料或其他用户公开的信息等。与传统方法相比，校园网系统的工作量更小，减少了人力物力财力的投资，办事效率也得到大幅提升。为减少校园网的攻击，必须尽快建立统一身份认证子系统，完善各智能化校园的安全建设，从时机可行性分析此系统设计可行。本系统采用统一建模语言进行建模，系统设计具备技术条件。此系统设计开发所需要的硬件设备投入量较少，且不需要高昂的硬件，开发成本低，系统设计开发具备经济条件。综上，此系统的研究设计可行。3．1．2总体目标建立智慧型校园统一身份认证系统的目标是保障校园网安全，使之可以长期稳定运行。在结合新的认证系统后可以实现用户的不同访问需求，单点登录可以加强各子系统之间的联系，减少了“信息孤岛”现象的发生，使资源得到更合理高效的使用，有利于提高教学质量。3．1．3总体需求分析为增强校园网的防御功能，提高校园信息管理效率，给校园网使用用户提供一个更加安全高质量的校园网系统，系统应当加强访问系统用户的身份验证。访问校园网的用户主要有三类，游客、系统用户、管理员。游客访问校园网时，只能查看部分内容，由于没有用户ID及密码口令，无法通过统一身份认证系统的身份验证，故无法访问校园网的其他应用系统。系统用户大多为本校学生和教师，这些用户注册后系统根据用户身份赋予不同的访问权限，不同类型的用户角色对应可访问的应用系统也有所不同。若具有登录权限的校内用户想访问系统内部应用程序，必须要通过统一身份认证子系统的单点登录验证。用户输入自己的用户ID及密码口令申请登录，认证服务器接受到用户请求后，向用户客户端发送随机字符验证码，用户方收到验证码后在对话框中输入，认证服务器将用户方发来的验证码进行审核，若与自己发出的验证码完全一致，则用户通过审核，并将审核结果反馈到用户端，若用户登录失败，将失败结果返回到客户端用户。图3-1认证流程图3．1．4系统框架图图3-2系统框架图此系统分为用户管理、身份认证管理、系统应用管理、日志管理、权限管理五个模块。3．2

子模块需求分析用户管理新入校的学生、教师及工作人员需要在校园网系统进行注册，用户名ID分别为本人学号、教工编号或职工编号，设置登录密码提交系统注册成功后，方可登录系统，编写自己的个人基本信息。如教师个人信息包括：姓名、性别、民族、出生日期、身份证号、所属院系、职称、联系方式、来校时间、教学研究方向等。每位系统用户可以随时查看、更新自己的个人信息，对自己的个人信息修改维护。在用户忘记登录系统密码口令或连续多次输入密码错误，可向系统提出找回密码申请，后台管理员将通过随机验证码检测，确定是否为本人操作，若检测通过，则同意重置密码，用户修改保存新密码后，后台返回密码修改成功与否的结果。身份认证管理此系统为减轻管理人员负担，提高系统利用率，保障系统安全，应实现单点登录机制。通过口令认证方式的用户认证后，系统将用户对应身份所可以访问的应用程序关联起来，完成账户关联。在前两项工作完成后，才可以进行用户ID及密码口令的核对，通过后则实现单点登录。系统应用管理为完善校园网系统功能，需要向系统添加新的Web应用程序，管理员应在后台对此应用程序注册，填写应用程序的基本信息。包括：程序名称、链接网址、开发者名称等。同时管理员需要对系统所有的应用程序信息进行后台维护管理工作。日志管理管理员可以查看系统运行日志，同时能够监测追踪到用户使用系统时的各项操作日志。权限管理对于不同分类的用户对应可访问系统应用程序的权限不同，管理员可以添加或修改某些Web应用程序的权限，对用户访问权限进行监管。3．3

用例分析3．3．1角色用例分析使用此身份认证系统的用户主要为校内学生、教师、工作人员及管理员，故设计构造两个角色用例。普通用户用例图3-3用户角色用例图每个用户角色具有登录、注册、退出、访问系统应用、找回密码五个用例，其中单点登录用例还包含了SSO代理和身份认证；管理员用例图3-4管理员角色用例图管理员除了拥有普通用户的用例外，还具有设置用户、权限设置、账户关联、添加系统应用四个用例。3．3．2系统用例分析经需求分析得统一身份认证系统核心功能板块是身份认证和统一用户管理。系统共包含系统应用管理、身份认证、统一用户管理、日志管理、统一访问管理五个用例。图3-5系统顶层用例图统一用户管理此用例包含用户注册、用户信息维护、找回密码三个子用例。用户根据自己的工号进行注册，成功后系统将根据用户角色赋予相应系统访问权限，不需要在每个系统重复注册。用户信息维护在此用例下用户可以自行修改个人信息，修改完毕提交系统后台管理员，管理员审核通过后修改成功。找回密码提供用户找回身份认证口令，可采用短信验证码、随机动态字符等方式进行新的密码修改，修改后可使用新口令登录。身份认证此用例包括单点登录、账户关联、用户认证三个子用例。系统使用动态口令认证方式对用户身份检核后完成用户认证，根据用户角色的不同系统访问权限将这些系统与用户身份信息关联，实现账户关联。账户关联和用户认证完成后即可实现单点登录。访问账户关联后的应用程序不需要重复登录，一次登录认证后即可访问对应权限的系统应用。统一访问管理此用例用于控制用户的资源访问。由于校园网内资源有限，不同身份访问用户权限不同，需要的资源也有所不同。同一时段对于不同角色的访问，为访问需求更大的用户提供更多的资源。当浏览用户和选课用户同时访问系统资源时，因为选课用户所需要的访问需求更大，系统将控制访问权限，赋予更多的资源给需求更大的用户。系统应用管理此用例包括系统应用注册、系统应用信息维护两个子用例。若有新应用入驻系统时，管理员要对系统应用的基本信息进行登记填写，系统应用注册页面填写应用名称、开发者信息、应用程序主要功能、应用程序网址、应用程序创建时间等信息。日志管理此用例包括查询日志、系统监控两个子用例。管理员可以查看用户访问系统的任意操作日志，并对用户访问系统的各项操作进行监控，及时制止用户对系统的非法操作，为系统的安全运行提供一定的保障。3．4

本章小结本章首先研究了系统的可行性，接下来为保障校园网安全运行分析系统整体目标，对系统做出需求分析，画出系统框架图并分析系统用例和使用系统的角色用例，为接下来的系统详细设计提供思路

4

系统设计4．1

系统结构设计图4-1系统结构图经过之前的需求分析，将系统划分为用户管理、身份认证管理、系统应用管理、权限管理、日志管理五个模块。用户管理模块下划分为用户注册、用户信息维护、找回密码三个子模块。使用此系统的合法用户，必须是在校学生、教师或校内工作人员。用户首次进入系统需要先注册，系统根据不同的角色身份进行用户分类，并要求用户填写相应个人信息；若用户注册时填写的信息有误，可选择“用户信息维护”对个人信息进行修改；当用户想登录系统访问应用但忘记密码时，可以选择“找回密码”进行密码重置，向后台管理员申请重置密码。后台管理员接收到找回密码申请后，向用户注册时留下的邮箱或手机号码发送验证码验证是否为用户本人操作，用户输入验证码正确后，管理员同意用户进行密码重置。身份认证管理模块是划分为单点登录、账户关联、用户认证三个子模块，此模块是系统的核心板块。“用户认证”模块包括静态密码认证、动态口令认证、短信密码认证、数字签名等方式；“账户关联”即在身份认证通过后，根据登入系统的角色将具有当前角色访问权限的校园网内系统应用全部关联；系统内“单点登录”指在经过身份认证和账户关联后，用户访问系统其他应用不需要再进行二次登录认证，提高了用户使用效率。系统应用管理模块下划分为系统应用注册、系统应用信息维护两个子模块。系统内没有的应用程序可以选择“系统应用注册”功能，输入新建系统应用的基本信息进行登记注册；若信息注册后出现错误，选择“系统应用信息维护”功能进行修改。日志管理模块分为查询系统日志和系统监控两个子模块。对系统用户的操作访问进行记录、追踪、监测。权限管理模块下划分为查询权限、修改权限两个子模块。用户注册时，系统后台根据登录系统用户的不同身份，赋予每类用户不同的系统应用访问权限。管理员可以通过“查询权限”查看每类用户系统内可访问的系统应用权限；通过“修改权限”对用户可访问的权限进行修改。4．2

系统详细设计4．2．1用户管理 对于首次登录校园网系统未注册过的学生、教师、工作人员等用户，需要在用户管理部分先进行注册，登录后方可登录系统访问应用程序；管理员对用户注册时录入系统的信息进行维护修改；若用户忘记密码，可以向后台管理员请求找回密码。后台管理员接收到找回密码申请后，向用户注册时留下的邮箱或手机号码发送验证码验证是否为用户本人操作，用户输入验证码正确后，管理员同意用户进行密码重置。用户注册如图4-2为用户注册时序图，描述了用户首次进行注册系统的操作：图4-2用户注册时序图用户打开校园网链接进入首页界面；选择用户注册，向后台申请注册，跳转到注册页面；输入自己的学号、教工号或职工号作为用户的登录ID账号，设置登录密码，填写注册页面姓名、年龄、角色名称等个人信息；信息填写完毕后将用户ID提交到后台数据库对比；若输入的用户ID在数据库中存在，则给用户返回“已注册”提示；否则将用户信息存储到数据库，跳转到首页页面，返回“注册成功”提示语；用户信息管理若用户想修改个人信息，可进行以下操作：用户进入首页经身份认证后登录校园网系统；选择用户信息维护向后台服务器发出修改申请，同意后跳转到个人信息页面；对要更改的信息进行编辑，全部修改完成后提交给后台管理员；管理员检查后信息格式无错误，返回“修改成功”结果；若修改后检测出信息有误，返回“信息有误或空缺”结果；图4-3用户信息维护时序图管理员审核每一名用户修改自己的个人信息时，需要向后台提交修改申请，后台服务器收到申请后发出同意修改，响应用户修改请求，但用户修改后提交到服务器的信息不会自动在数据库及时更新，这期时需要后台管理员的审核过程。管理员查看用户修改的信息后，对用户更新的信息资料进行核实。若检查无误，管理员点击确认更改后才可以改变数据库信息；若管理员核实信息出错，则审核不通过，用户修改信息被驳回，向用户返回修改失败，并删除本次修改申请。审核过程流程图如下：图4-4管理员审核流程图4．2．2身份认证设计基于单点登录的身份认证，最关键组成部分的是票据，用Token或Ticket表示，是存储用户登录通行信息的唯一标准，判断用户名和密码是否正确并给出提示信息。单点登录技术要求网页浏览器客户端长时间保存票据，只能通过Cookie文件实现。故一段时间内多次浏览使用网页，Cookie文件可以自动提供身份验证信息，不需要新的身份验证。认证过程描述：第一次使用系统时，需要在网站首页输入用户名密码登录，若验证通过，用户将收到系统提供的通行票据token2；当用户想访问系统2或3时，使用token票据进行验证，收到验证请求后，内部验证系统根据票据token的有效性，验证票据是否合法有效。若验证通过用户则可以直接访问应用系统2和3.图4-5单点登录流程身份认证经历的步骤：用户打开链接进入首页登录页面，输入用户ID和密码口令，系统对身份信息检测校验，若验证成功，服务器则向客户端发送验证码；若验证失败提示用户返回登录失败。用户验证成功接收到验证码后，需要在客户端输入随机验证码，系统将通过验证码对用户进行身份核实。若验证码校验错误，提示用户返回登录失败并结束现在的操作。若检测校验成功，则授予应用系统访问权限。流程图如下：图4-6身份验证流程图身份认证时序操作如下：用户在网页客户端界面输入用户ID和密码信息，客户端检测格式是否正确；客户端向Web服务器端请求登录系统；Web服务器端回复客户端发出的请求，向数据库服务器端提出身份验证请求；数据库服务器根据用户ID对应存储在数据库的密码口令进行用户名密码身份认证；数据库服务器向Web服务器端发送验证码；Web服务器端收到服务器发送来的验证码，并将此验证码发送给用户客户端；用户填写验证码后，客户端向Web服务器提交输入的验证码；Web服务器端申请提交验证码认证；数据库服务器校验验证码；认证结果被数据库服务器返回到Web服务器；Web服务器将认证结果返回到客户端；图4-7身份认证时序图4．2．3系统应用管理系统应用信息维护和用户信息维护操作过程类似，只是操作者不同。前者需要用户自己更改操作，后者只有管理员才拥有对应用程序的信息更改。操作如下：管理员输入用户名密码，通过认证后进入系统；进入应用系统管理模块；进入应用系统信息维护模块；选择要操作的某一应用程序，对要修改的信息进行更新；提交修改后，若格式无误返回“修改成功”；若格式错误，返回“格式错误”；流程图如下：图4-8系统应用操作流程图4．2．4安全事件信息采集如图为系统监控模块安全信息采集流程图，登录系统后进入日志管理，选择系统监控，对安全事件采集。若采集失败返回失败消息提示，若成功则显示安全事件信息。图4-9安全时间采集流程图对应事件时序图操作如下：管理员经身份验证后登录系统进入日志管理；选择日志管理中系统监控模块，进入安全事件信息采集模块；客户端用户向Web服务器端提出安全事件信息采集请求；服务器接受请求后向数据库端请求采集安全事件数据；数据库端将事件信息备份，发送给Web服务器端；服务器接收到备份信息反馈给客户端用户；图4-10安全事件信息采集时序图4．2．5权限管理以权限参数的设置为例，对用户访问应用程序的权限进行添加、更改、删除、查询等基本操作。对应时序图操作如下：管理员登录系统进入权限管理模块；进入修改权限模块下权限参数修改子模块；管理员对权限参数进行添加操作时，录入需要的权限参数，提交添加请求，系统将调用Database.Add(sql)语句在数据库进行权限参数添加，向用户返回添加成功；管理员对权限参数进行删除操作时，选择需要删除的权限参数，提交删除参数请求，系统将调用Database.Delete(sql)语句在数据库进行权限参数删除，向用户返回删除成功；管理员对权限参数进行更改操作时，选择需要更改的权限参数并录入更改后的参数要求，提交更改请求，系统将调用Database.Update(sql)语句在数据库进行权限参数更改，向用户返回操作成功；图4-11权限参数操作时序图4．3

系统数据库设计学生信息表，用于存放每名学生的个人信息，浏览此表可以得知学生的基本信息。如表4-1所示:表4-1学生信息表字段名别名类型长度NULL主键Student_Number学号char12NO是NUmber校园卡号char12NO是Role_name角色名称varchar20NOName姓名varchar20NOSex性别Char1NONationality民族tinyint4NOID_Number身份证号varchar18NOBirthday出生日期date8YESNativeplace籍贯varchar20YESHouse_Place家庭住址varchar50YESPhone_Number联系方式varchar11NOIdentity政治面貌varchar20NODepartment所属学院varchar25NO备注：校园卡号即学生学号；教师信息表，用于存放教师的个人信息，浏览此表可以得知某位老师的基本信息。如表4-2所示:表4-2教师信息表字段名别名类型长度NULL主键Teacher_Number教师编号char12NO是NUmber校园卡号char12NO是Role_name角色名称varchar20NOName姓名varchar20NOSex性别Char1NONationality民族tinyint4NOReligion宗教tinyint4YESID_Number身份证号varchar18NOBirthday出生日期date8YESLive_Place现居住地varchar50YESPhone_Number联系方式varchar11NOIdentity政治面貌varchar20NODepartment所属学院varchar25NOEmail电子邮件varchar25YESTitlename职称名称varchar10NOStatus工作状态tinyint4NO备注：数据库表中数据项“民族”的类型选用tinyint，规定01为汉族，02-56代表其他少数民族；校园卡号为教师编号；登录表，用于核实用户登录时的用户ID和密码口令的正确性，并分配相应角色。如表4-3所示:表4-3登录表字段名别名类型长度NULL主键Number校园卡号char12NO是Password密码varchar20NORole_id角色int11NO角色信息表，用于存储用户的身份信息、创建者信息等。从角色字段值可以判断出是学生、教师、管理员中的哪一类用户。如表4-4所示:表4-4角色信息表字段名别名类型长度NULL主键 Role_id角色idInt12NO是Role_name角色名称varchar20NORole_creator创建者varchar30YESRole_creat创建时间varchar30YES应用系统表，存储通过认证中心进行身份认证的Web应用系统相关信息。如表4-5所示：表4-5应用系统信息表字段名别名类型长度NULL主键 Application_id应用idchar12NO是Application_name应用名称varchar20NOApplication_url应用网址varchar50YESRole_creat创建时间varchar30YES账户关联表，用于在统一认证系统中存储账户及相关联应用系统的账号信息，及应用系统相关信息。账户关联建立后，用户可以使用被授权的应用系统，进而访问系统中的Web应用。如表4-6所示：表4-6账户关联表字段名别名类型长度NULL主键User_id统一身份用户idchar4NO是Account_id应用系统用户idchar4NO是Application_id应用编号char2NO是权限表，用于存储系统分配给不同用户角色的权限。如表4-7所示：表4-7权限表字段名别名类型长度NULL主键 Purview_id权限编号char2NO是 Purview_name权限名称varchar20NO系统日志信息表，用于存储用户操作系统记录，便于管理员查询、追踪用户操作。如表4-8所示：表4-8系统日志信息表字段名别名类型长度NULL主键 Operator_id日志记录编号Int12NO是 User_id用户编号varchar4NOStart_time开始时间date8NOEnd_time结束时间date8NOContent操作内容varchar10YES4．4

本章小结本章主要是对统一身份系统的每一模块进行详细设计，列出系统结果图，画出了子模块的流程图、时序图说明介绍每个模块的功能；同时也编写了此系统数据库需要使用的主要数据库信息表，对整个系统的设计进行详细描述。5

总结本文通过对近年来校园网面临的网络攻击、威胁等安全问题进行简单分析，由于各子系统用户信息分散，数据繁多复杂给系统增加了安全隐患，决定设计一个统一身份认证系统，使子系统相关联，对登录校园网的用户进行身份验证，最后实现用户的单点登录。首先研究了校园网安全的发展背景，分析了国内外校园网身份认证技术的发展现状，进一步确定设计此身份认证系统的必要性。接下来介绍了统一身份认证系统设计所需要掌握的身份认证技术、认证方法、单点登录实现方式、统一建模语言等相关技术原理，对存储用户信息所能使用到的LDAP目录服务协议的概念、工作原理也进行了简单叙述。随后对设计系统的需求进行分析，给出角色用例图和系统用例图，将系统划分为用户管理、身份认证管理、系统应用管理、日志管理、权限管理五个模块。结合时序图和流程图阐述了用户注册、用户信息维护、身份认证、安全事件信息采集等主要功能的详细步骤。最主要的是身份认证设计，在用户认证通过后，用户成功登陆系统一，认证服务器会向用户发送票据token这一关键信息，若用户想访问其它系统，系统只需要验证用户的token是否合法即可决定用户能否访问其他子系统。经过每个部分功能的详细设计，基本实现了系统总目标。校园网络的安全问题短时间内是无法解决的，而是一个持久战。除了提出加强访问校园用户的身份认证方案，还有很多是我自身能力有限无法做到的：本文的身份认证是基于口令认证方式身份认证，后续方案也可以考虑使用安全性更高的方法技术实现，如USB移动证书；由于学校每一年都会有新成员注册校园网，在LDAP服务器存储用户信息时，要改进技术手段，加强对LDAP服务器的管理，提高系统使用率。校园网最大的也是最严重的问题是网络安全问题没有办法根治，加强校园网的信息安全，不仅要建立更安全的身份认证系统，还需要配置性能较好的计算机的硬件设施，提高网络防火墙技术，使用安全性较高的网络安全产品，同时也要提高用户安全意识。希望随着科技进一步发展，校园网的安全可以得到更全面的保护完善。参考文献[1]王锦辉.校园信息安全现状分析.2011.[2]黄玉涛.\t"/https/77726476706e69737468656265737421fbf952d2243e635930068cb8/kns8/defaultresult/_blank"“互联网+”背景下的校园网络信息安全研究.2020-3.[3]贺思德.计算机网络信息安全与应用[M].北京：清华大学出版社,2012.[4]王左利.网络安全战略与人才培养[J].中国教育网络2015年,1月刊.[5]郭琳.网络安全部署[M].北京：国防工业出版社,2011.[6]赵华伟，刘理争.网络与信息安全实验教程[M].北京:清华大学出版社,2012.[7]黄海军，朱凯.对高校校园网信息安全的分析与研究.2014-3.[8]蒋亚军，詹增荣，王伟等.实用信息安全技术[M].北京：清华大学出版社,2012.[9]HendaouiFatma;EltaiefHamdi;YoussefHabib.UAP:AunifiedauthenticationplatformforIoTenvironment.ComputerNetworks,2021-01-08.[10]\t"/https/77726476706e69737468656265737421e3f44990357e6b5e7501c7a29d41/zn/Detail/index/SFJG_01/_blank"AnirudhSrivathsan; \t"/https/77726476706e69737468656265737421e3f44990357e6b5e7501c7a29d41/zn/Detail/index/SFJG_01/_blank"AyushAmbastha; \t"/https/77726476706e69737468656265737421e3f44990357e6b5e7501c7a29d41/zn/Detail/index/SF