1、学校网络统一身份认证系统设计摘 要：随着计算机技术和网络技术在校园中的普及，校园中建立了多种应用系统，来实现对人员的管理、信息的管理，提供各种信息服务。但是，由于各个系统丰管部门不同、面向对象不同、对学校影响的紧迫程度不同，各个系统是分步建成的，并不是统一规划的。各个系统建立的时间不同，在提供应用的厂商不同，各个系统之间大都互相独立，缺乏一个统一的登录入口。本文可以设计一个统一认证的系统，通过单点登录来实现对各个应用系统的访问和使用。此系统是基于 PKI 的校园网身份认证系统。 关键词：校园网； 统一身份认证 统一认证系统是学校各个应用系统的对外窗口，是整个校园网络应用的门户。它为校园网络各个
2、应用系统提供一个统一的认证入口，将用户在不同应用系统中设置的多个口令相统一，为实现统一用户管理、将来建立统一信息集成系统打下良好的基础。统一用户认证设计的功能和目标为：设计一套全校统一的用户认证系统，为各个应用系统提供用户身份认证的功能。这个系统需要实现校园网络的单点登录，用户通过了认证后就可以直接访问学校的应用系统。系统中认证及漫游支撑系统必须稳定、可靠、安全、高效，特别是安全问题应该着重考虑。 系统设计：单点登录系统采用基于数字证书的加密和数字签名技术，对用户实行集中统一的铃理和身份认证，并作为各应用系统的统一登录入口。单点登录系统在提高系统安全性、降低管理成本方面有突出作用，不仅规避密码
3、安全风险，还简化用户认证的相关应用操作。校园网 PKI系统是建立数字校园的坚实基础，建立适用于校园网的 PKI 系统模型，必须充分考虑校园网的特殊环境：1.通过实施单点登录功能，使用户只需一次登录就可以根据相关的规则去访问不同的应用系统，提高信息系统的易用性、安全性、稳定性；2.在此基础上进一步实现用户在异构系统统一身份认证功能；3.实现提供对校园内无线 WAP 接入和无线射频譬接入的统一认证支持；4.采用 LDAP 无缝集成现有的应用系统的统一用户数据库作为 SSO 应用软件系统的用户数据库。 系统模块设计与实现之 UIDP 服务器的设计：用户授权的基础是对用户的统一管理，对于在用户信息库中
4、新注册的用户，通过自动授权或手工授权方式，为用户分配角色、对应用系统的访问权限、应用系统操作权限，完成对用户的授权。如果用户在用户信息库中被删除，则其相应的授权信息也将被删除。完整的用户授权流程如下：1.用户信息统一管理，包括了用户的注册、用户信息变更、用户注销；2.权限管理系统自动获取新增用户信息，并根据设置自动分配默认权限和用户角色；3.用户管理员可以基于角色调整用户授权或直接调整单个用户的授权；4.授权信息记录到用户属性证书或用户信息库中；5.用户登录到应用系统，由身份认证系统检验用户的权限信息并返回给应用系统，满足应用系统的权限要求可以进行操作，否则拒绝操作；用户的授权信息和操作信息均
5、被记录到日志中，可以形成完整的用户授权表、用户访问统计表。 用户信息库数据结构设计：定义统一用户管理系统用户数据库中关于用户信息部分的主要数据结构，以便了解统一认证系统所能够提供的用户信息。用户信息库包含以下内容： 证书认证服务器结构设计：安全认证中心基础设施与数字证书服务受理服务器组成如下： 1.CA 管理中心：CA 管理中心是系统的核心，其在安全环境中产生用于数字签名的 RSA 公钥对，然后产生自签名的数字证书，负责为 RA 操作员、RA 服务器、cA 管理员签发数字证书，同时接受来自 RA 服务器发送来的终端实体数字证书的请求，为终端实体签发数字证书。在校园 PKI系统中，CA 认证中心
6、主要由学校的网络信息中心进行维护和运行。基于前文对跨平台需求的研究，CA 管理中心为内网服务器提供基于 SAML 的WebService 认证机制，确保正确响应跨平台跨系统的应用系统的认证请求。2.数字证书服务受理服务器：CA 网站是 CA 与用户沟通的桥梁，CA网站采用 Web 服务器，为用户提供网上申请证书、下载证书、挂失证书等服务。3.审核机构 RA：审核机构 RA 在校园 PKI 体系结构中起承上启下的作用。RA 服务器根据用户提交的表单信息，产生标准格式的证书请求，通过 SSL 安全信道将此标准格式的证书请求传送至 CA 服务器然后对用户颁发证书。在校园 PKI 系统中，RA 的维护
7、和运行也由学校网络信息中心负责，并通过 RA 服务器和 RA 操作员连接。4.数据中心：数据中心是证书的存放地，提供根证书实体数字证书和 CDL 的检索与下载服务，用户可以通过访问数据中心获取自己或他人以及 CA 的数字证书以及CRL。5.CA 操作员：通过 SSL 安全信道实现对 CA 服务器进行全面的配置管理和操作审计功能。CA 操作员由学校网络信息中心安排并分别为其颁发 CA 操作员证书。6.RA 操作员：通过 SSL 安全信道管理登录 RA。负责验证终端实体的证书请求，如果验证成功，直接将此证书请求发送给 CA服务器。RA 操作员由各院系团支书担任，负责相关的本院系同学的验证工作。其中
8、各角色的用例图设计如下： 数字证书是一段包含用户身份信息、用户公钥信息以及身份验证机构数字签名的数据。本证书采用 X509v3 标准，证书中附带用户在各 个应用系统中授予的权限。各应用系统可以直接根据证书中的授权提供给用户响应的服务。其各个 CA 中心颁发的数字证书结构如下： 本文以统一身份认证服务为中心，通过对 PKI 和统一认证技术的学习，针对现在校园网络中多个应用系统并行、多种接入方式并存的情况等问题的研究。最后根据对这些问题的分析，设计出了一个基于 PKI 的校园网身份认证系统。该系统利用 PKI 体系的非对称体制，实现了用户身份的鉴别以及信息传输过程中的机密性，完整性和不可否认性。通
9、过实施单点登录功能，使用户只需一次登录就可以根据相关的规则去访问不同的应用系统，提高信息系统的易用性、安全性、稳定性；进一步实现用户在异构系统统一身份认证功能；实现提供对校园内无线 WAP 接入和无线射频卡接入的统一认证支持；目前各高校多个信息系统并存，将各个系统能够整合归一、建立一个学校统一的信息系统，是将来最终建设的目标。本文主要是从理论上进行了论证，从而设计出学校网络统一身份认证系统。 参考文献 1史伟奇，张波云，PKi 安全性分析，计算机安全，2007.02 2唐洁，张月琳，PKI 研究以及在数字化校园中的应用，计算机技术与发展，2008.08 3朱兴荣，数字校园 PKI/CA 认证体系的规划和建设，网络通讯及安全，2007.04 4吴向东，构建基于 PKI 高校校园网身份认证系统，通信技术，2009.06 5聂维，高校校园 I 网 PKI 系统模型研究与分析，福建电脑，2008.10 6 于华、蔡海滨，基于 LDAP 和 PKI 的 Intranet 统一身份认证系统研究，计算机工程与设计，2006.05 作者简介 周思吉，男， （1986） ，汉族，四川达州人，四川文理学院计算机科学系，助教
