基于旁路技术的单点登录系统设计与实现

在某单点登录改造项目实施过程中,为了克服原方案的性能瓶颈和兼容性缺陷,采用安全认证网关、绝对URL地址访问、多因子加密等方法,解决了身份认证、旁路访问、安全参数传递等关键技术,设计出了统一身份认证与独立系统访问相结合的单点登录解决方案,提出了基于该方案进行单点登录改造的技术要求。经过实际应用验证,该方案具有突出的优点和实用效果。     

单点登录原型系统KSSO的设计与实现

随着网络的普及和企业信息化建设的加快,用户经常要访问多种不同的应用服务器,以致用户必须面对多次登录的困扰.单点登录（Single Sign-On）就是为解决传统认证机制中存在的问题而提出的一种技术.分析了传统Kerberos协议的特点与不足,提出了一种基于改进Kerberos协议的单点登录原型系统KSSO,并对该系统的体系结构、设计思想、工作原理和实现方案进行了阐述.     

基于异步动态代理的跨域单点登录系统研究

实时单点登录系统存在AJAX不能直接跨域调用,cookie不能跨域读写等问题,使得异步实时跨域单点登录很难实现.为了解决这些问题,设计了基于异步动态代理的跨域单点登录系统,即运用Web设计模式中的代理模式解决异步实时跨域单点登录.分析了该系统的设计原则,设计了该系统的接口、系统的结构以及工作流程,并以某企业网络为实例,利用异步动态代理实现了跨域单点登录.     

基于SAML改进的单点登录模型研究

针对安全断言标记语言(SAML)的不足,提出了基于站群的会话有效期的概念,设计了主题在线反查协议、定点注销协议和重复登录限制办法,解决了跨域单点登录问题,给出了数据同步策略,实现了源站点和各目标站点之间的松耦合关系,支持可分可合式的系统集成,便于集成历史遗留系统。基于该方案架构的系统已经在我国某大型国有银行中被推广使用,应用结果表明,降低了系统管理成本及用户操作复杂度,提高了生产效率和安全性,满足了企业需要。     

一种基于Web Service的简单SSO系统实现

分析了现存多种SSO技术的优缺点,针对用户跨系统操作较多的分布式系统,提出了一种基于WebService的以权限管理为核心的轻量级的单点登录实现方法。通过在某航空呼叫中心中的运用实践。很好地说明了该方法的实用性。     

跨终端的单点登录系统的设计与实现

提出一种基于终端管理中心TM(Terminal Manager)的跨终端的单点登录系统(SSO,Single Sign-On)的解决方案,目标是为了解决三网融合环境下新一代业务运行管控协同支撑系统中用户跨终端单点登录的问题。在实现不同类型终端各自单点登录的基础上,通过对不同终端的唯一标识做绑定从而实现跨终端的单点登录。在原型系统中,通过终端管理中心TM和会话管理中心PP(PassPort)的紧密配合,实现了用户跨终端登录的整个过程。     

A user-centric intelligent context-aware system for realizing internet-of-things environments

The Journal of Supercomputing - In the near future, an Internet-of-things (IoT) environment will be realized across ubiquitous terminals such as computers and smartphones, supporting connections...     

单点登录方案的研究与设计

为了解决现有基于Kerberos协议及证书机制的单点登录系统的不足,结合了Kerberos协议和证书机制的思想,提出了改进的单点登录方案.改进方案不仅解决了Kerberos协议单点失效问题以及证书机制认证低效问题,同时还给出了用户信息管理中心防数据外泄方案以及单点登录系统防DDos攻击策略,从而保证了整个改进方案具有较好的安全性、高效性和可靠性.目前,基于改进方案的单点登录系统已经实现并且成功应用在面向服务架构的Web Service环境下.     

基于PKI的Web单点登录系统设计与实现

随着Web应用的不断普及,如何方便的认证用户身份,如何灵活的管理用户的访问权限,成为了一个日益重要的问题.单点登录(single sign-on)是一种解决不同系统之间一次登录,多系统访问的技术.设计并实现了一种Web环境下的单点登录模型,其安全性基于公开密钥基础设施,保证了多Web系统互连的安全性.系统在J2EE平台上实现,有效的解决了重放攻击、身份认证等安全问题;同时,该系统实现简单,保留了原有系统的权限管理模块,降低了系统集成成本的同时,也更灵活的实现了权限管理.     

移动跨域单点登录系统设计

通过分析单点登录技术在移动电子商务中的重要性和单点登录技术的实现原理,提出了适用于移动环境的跨域单点登录系统整体架构.针对移动设备运算能力有限以及移动网络的不稳定性,提出了改进的基于公钥基础设施PKI的数据加密、数字签名和分布式认证技术,实现了移动用户的域内认证和跨域认证.最后,在上述分析和研究基础上,使用基于JAX-WS模型的Web服务、Oracle9i数据库和Bouncy Castle轻量级API中的基于RSA的公钥算法,在J2ME和Java EE 5.0平台下对移动跨域单点登录系统进行了具体设计,并进行了测试.     

基于Web服务的统一身份认证服务的设计实现

Web服务具有松散耦合、语言中立、平台无关性、开放性的特性,这使得它很适用于跨平台跨应用的集成。为了实现多应用系统的用户认证,结合已有的Web服务安全规范,设计了一个多应用环境下的支持多种认证方式的基于Web服务的统一身份认证服务,详细描述了其模型、消息格式、流程及实现,并进行了安全性分析。     

基于OpenID和RBAC的统一认证系统的研究与实现

为了解决复杂Web应用系统中用户认证与权限管理的问题,对OpenID协议进行了研究。分析了OpenID认证流程以及OpenID扩展通信协议。在此基础上,根据OpenID的特点结合基于角色的控制访问(role-based access control,RBAC)提出了基于OpenID的单点登录与授权系统的实现方法。该方法能够提供认证与权限管理的功能,实现简单,具有较高的重用性和扩展性。     

网格中单点登录技术的研究与方案设计

网格主要被应用于大规模、分布式、高性能的计算,为用户提供调用远程计算资源的能力.单点登录是网格计算系统的一个基本功能.提出了一个单点登录方案,该方案使用了PMI相关体系,利用属性证书进行授权.为了提高系统的性能,设计了一个基于口令的网格安全中间件,在安全传输过程中可以不进行加解密等运算操作,用户也不需要拥有自己的公钥证书、私有密钥等,并且为用户提供了方便的使用界面.     

基于Kerberos协议的单点登录研究与设计

通过对传统的基于Kerberos协议的单点登录研究,分析了其存在的问题,提出了自己的解决方案。该方案采用密钥分发中心与资源服务器的会话密钥来替代它们之间的永久密钥以提高系统的安全性,采用基于时间戳和MAC地址的双重验证来解决重放攻击问题,采用Flag标记实现客户方与资源服务器的双向验证。在此基础上设计出了改进的单点登录系统,开发了软件系统原型,并通过实验验证了所提方案的有效性,为单点登录提供了可行的解决途径。     

Linguistic models as a framework of user-centric system modeling

In this paper, the fundamental idea of linguistic models introduced by Pedrycz and Vasilakos (1999) is followed and their comprehensive design framework is developed. The paradigm of linguistic modeling is concerned with constructing models that: 1) are user centric and 2) inherently dwell upon collections of highly interpretable and user-oriented entities such as information granules. The objective of this paper is to investigate and compare alternative design options, present an organization of the overall optimization process, and come up with a specification of several evaluation mechanisms of the performance of the models. The underlying design tool guiding the development of linguistic models revolves around the augmented version of fuzzy clustering known as a context-based or conditional fuzzy C-means (C-FCM). The design process comprises several main phases such as: 1) defining and further refining context fuzzy sets; 2) completing conditional fuzzy clustering; and 3) optimizing parameters (connections) linking information granules in the input and output spaces. An iterative process of forming information granules in the input and output spaces is discussed. Their membership functions are adjusted by the gradient-based learning guided by the minimization of some performance index. The paper comes with a comprehensive suite of experiments that lead to some design guidelines of the models. Furthermore, the performance of linguistic models is contrasted with that of other fuzzy models, especially radial basis function neural networks (RBFNNs) and related constructs that are based on concepts of fuzzy clustering.     

基于SAML2的单点登录服务器FAAS的设计与实现

单点登录是实现集中身份认证和数据统一管理的一种访问控制方法,它能够解决分布式系统的多重认证问题.在对单点登录以及安全断言标记语言(SAME)分析的基础上,设计和实现了基于SAML2的单点登录服务器FAAS(联邦认证授权服务器),并成功用于某上市企业ERP开发集成项目中.该设计的重点是SAML2的协议实现和FAAS的架构.     

Revisiting single sign-on: a pragmatic approach in a new context

Single sign-on is a solution that lets users authenticate themselves once and access different applications without reauthentication. SSO assists users through all the procedures required to access heterogeneous applications. Using applications becomes easier, technical-assistance costs go down, and security improves. However, getting the most of the solution requires understanding related domains such as central user administration, the enterprise directory, and Web single sign-on. SSO is a moving target in a changing context. Many new devices, applications, and authentication methods are on the horizon, and although the general issue remains relatively simple and clearly defined, the solution's integration in an IT environment can become complicated. For these reasons, I draw attention to some of the main problems related to SSO initiatives and discuss the SSO strategy at Pictet, a private Swiss bank     

Analysis of privacy vulnerabilities in single sign-on mechanisms for multimedia websites

This paper studies the privacy risks for the users of two popular single sign-on platforms for web-based content access: OpenID and Facebook Connect. In particular we describe in detail a privacy vulnerability of the OpenID Authentication Protocol that leads to the exposure of the OpenID user identifier to third parties. We illustrate how OpenID agents leak the (potentially unique) OpenID identifiers of their users to third parties, like advertisement and traffic analysis corporations. This vulnerability is a real and widespread privacy risk for OpenID users. This paper also analyzes the privacy of Facebook Connect --the proprietary single sign-on platform that is gaining a lot of popularity recently-- and, we conclude that it is not affected by the same vulnerability but other important privacy issues remain. Finally, this paper studies the solution space of these problems and defines a number of possible countermeasures. In the case of the OpenID vulnerability, we propose three solutions to this problem: one for the long term to avoid the root cause of the vulnerability, and another two short-term mitigations.     

一种隐私保护的联邦学习框架

大数据时代,数据安全性和隐私性受到越来越多的关注和重视。联邦学习被视为是一种隐私保护的可行技术,允许从去中心化的数据中训练深度模型。针对电力投资系统中各部门因担心数据隐私信息泄露而带来的数据孤岛和隐私保护问题,提出了一种隐私保护的联邦学习框架,允许各部门自有数据在不出本地的情况下,联合训练模型。首先,提出了联邦学习的架构,支持分布式地训练模型;其次,引入同态加密技术,提出了隐私保护的联邦平均学习流程,在数据隐私保护的情况下,实现联合训练模型;最后,实验结果表明,该框架具有较好的收敛性,而且联合训练得到的模型具有较好的精度。