認(rèn)證與授權(quán)的標(biāo)準(zhǔn)概述

進(jìn)入21世紀(jì)，信息化的浪潮席卷了整個(gè)世界。可以說，現(xiàn)在的任何一項(xiàng)生產(chǎn)活動(dòng)都離不開計(jì)算機(jī)、網(wǎng)絡(luò)和信息系統(tǒng)，越來越多的組織機(jī)構(gòu)和企業(yè)建立了各種計(jì)算機(jī)信息系統(tǒng)以滿足日益激烈的市場(chǎng)競(jìng)爭(zhēng)的需要。在信息系統(tǒng)中，有兩個(gè)安全需求是非常重要的：如何保證人員的安全登錄和登出？如何控制不同層次的人員使用不同的功能？解決這兩個(gè)問題的辦法是采用認(rèn)證技術(shù)和授權(quán)技術(shù)。目前常見的方法是分別構(gòu)建不同的認(rèn)證授權(quán)平臺(tái)和系統(tǒng)，認(rèn)證授權(quán)屬于分散管理模式，其造成的結(jié)果是重復(fù)建設(shè)、無(wú)法高效互聯(lián)互通、管理成本高以及系統(tǒng)總體安全性降低。因此，如何能夠設(shè)計(jì)和建設(shè)一個(gè)通用架構(gòu)和基礎(chǔ)平臺(tái)，承載不同組織和機(jī)構(gòu)的信息系統(tǒng)，避免重復(fù)建設(shè)，實(shí)現(xiàn)跨域跨機(jī)構(gòu)、可移植、可信任和可擴(kuò)展的認(rèn)證授權(quán)與審計(jì)，是一個(gè)亟待研究解決的問題。

認(rèn)證和授權(quán)是任何信息化的系統(tǒng)都應(yīng)當(dāng)包含的功能，因此工業(yè)界也討論和設(shè)立了很多關(guān)于這方面的標(biāo)準(zhǔn)。其中，認(rèn)證的需求目標(biāo)比較獨(dú)立和明確，關(guān)于認(rèn)證的標(biāo)準(zhǔn)比較多比較全，大眾的認(rèn)知度也比較高。授權(quán)管理的需求相對(duì)比較分散和模糊，標(biāo)準(zhǔn)不多，應(yīng)用的實(shí)際效果也一般。下面，我們就對(duì)這兩種標(biāo)準(zhǔn)的應(yīng)用和發(fā)展分別做一個(gè)綜述。

1、身份認(rèn)證的標(biāo)準(zhǔn)

這里把認(rèn)證分為3大類：認(rèn)證方案類、單點(diǎn)登陸(SSO)協(xié)議類和認(rèn)證實(shí)現(xiàn)類。

認(rèn)證方案是指認(rèn)證的方式、手段、涉及的設(shè)備和協(xié)議，最常見例子就是用戶名/口令方式，其他的還有一次性口令方案、X.509數(shù)字證書方案、生物認(rèn)證方案、智能卡認(rèn)證方案、Kerberos認(rèn)證方案等。這些方案描述的是認(rèn)證的實(shí)體，包括流程、序列、實(shí)現(xiàn)，甚至包括數(shù)學(xué)證明和安全性分析。隨著時(shí)間的推移，這些方案在不斷發(fā)明、使用、被攻破的過程中也在不斷地優(yōu)化和改進(jìn)。

SSO協(xié)議指的是集成各種認(rèn)證方案以實(shí)現(xiàn)單點(diǎn)登錄目的的協(xié)議規(guī)范，主要的有安全性斷言標(biāo)記語(yǔ)言(SAML) V1.0/V1.1/V2協(xié)議、網(wǎng)絡(luò)身份統(tǒng)一架構(gòu)(ID-FF) 1.2協(xié)議、WS-Federation協(xié)議和.Net Passport協(xié)議。其中SAML[5-6]協(xié)議由結(jié)構(gòu)化信息標(biāo)準(zhǔn)促進(jìn)組織(OASIS)制定，規(guī)定了SSO在客戶端(Browser)和工件(Artifact)實(shí)現(xiàn)的流程，定義了認(rèn)證斷言和屬性斷言，它們都遵循萬(wàn)維網(wǎng)聯(lián)盟(W3C)的XMLSchema規(guī)范和XMLSig規(guī)范，以可擴(kuò)展標(biāo)記語(yǔ)言(XML)的格式描述。ID-FF 1.2協(xié)議由Liberty Alliance組織制定，Liberty規(guī)范要求建立聯(lián)盟關(guān)系的系統(tǒng)的賬號(hào)之間要建立映射，通過映射關(guān)系間接地實(shí)現(xiàn)賬號(hào)的全局性，目前，該規(guī)范有和SAML融合的趨勢(shì)。SAML的標(biāo)準(zhǔn)化程度比較高，將認(rèn)證的功能和流程做了統(tǒng)一的規(guī)劃和定義，各大軟件廠商對(duì)其支持力度也在逐漸加強(qiáng)；ID-FF使用的技術(shù)與SAML越來越趨同；而WS-Federation協(xié)議和.Net Passport協(xié)議比較封閉，被提及的次數(shù)越來越少，有被邊緣化的趨勢(shì)。

認(rèn)證實(shí)現(xiàn)是指工業(yè)界形成的實(shí)際技術(shù)框架標(biāo)準(zhǔn)和開源社區(qū)基于標(biāo)準(zhǔn)構(gòu)建的認(rèn)證系統(tǒng)，他們雖然在建立之初并沒有經(jīng)過標(biāo)準(zhǔn)化委員會(huì)的認(rèn)證和支持，但是，他們?cè)趯?shí)際的軟件開發(fā)人員中有著先入為主的重要印象和深遠(yuǎn)的范例意義。Java認(rèn)證授權(quán)服務(wù)(JAAS)就是一項(xiàng)JAVA領(lǐng)域的實(shí)際標(biāo)準(zhǔn)，它規(guī)定了一系列的調(diào)用接口和規(guī)范，提供了靈活和可伸縮的機(jī)制來規(guī)范客戶端或服務(wù)器端的JAVA程序。許多基于JAVA技術(shù)構(gòu)建的大型應(yīng)用和服務(wù)，無(wú)論是軟件巨頭推出的產(chǎn)品還是極具影響力的開源社區(qū)推出的系統(tǒng)，都已經(jīng)聲稱支持這項(xiàng)規(guī)范，商用系統(tǒng)有Webshpere和Weblogic等，開源社區(qū)有JBoss和Tomcat等。開源社區(qū)基于標(biāo)準(zhǔn)構(gòu)建的認(rèn)證系統(tǒng)影響力也不小，比如Internet2的Shibboleth，致力于校園網(wǎng)教育系統(tǒng)的認(rèn)證聯(lián)盟建立，實(shí)現(xiàn)Web資源的共享；又比如Acegi Security為Spring Framework提供一個(gè)兼容的安全認(rèn)證服務(wù)；還有耶魯大學(xué)開發(fā)的單點(diǎn)登錄系統(tǒng)(CAS)，在互聯(lián)網(wǎng)上被討論的熱度也很高。

2、授權(quán)管理的標(biāo)準(zhǔn)

授權(quán)管理有著悠久的歷史，但是發(fā)展比較緩慢，基本還是在早期的理論上修補(bǔ)，沒有具有突破性質(zhì)和廣泛應(yīng)用價(jià)值的新成果出現(xiàn)。目前比較熱門的研究有基于任務(wù)的授權(quán)、基于工作流的授權(quán)等，但離標(biāo)準(zhǔn)的形成和大規(guī)模應(yīng)用還有相當(dāng)長(zhǎng)的距離。

授權(quán)管理基礎(chǔ)設(shè)施(PMI)授權(quán)管理基礎(chǔ)設(shè)施是一種被寄予厚望的授權(quán)架構(gòu)標(biāo)準(zhǔn)，它推薦使用屬性證書(由Asn.1格式描述)來定義出現(xiàn)在各種系統(tǒng)中的權(quán)限，使用簽名技術(shù)保護(hù)授權(quán)。但是由于Asn.1語(yǔ)義艱澀、開放性不夠等諸多原因，這項(xiàng)標(biāo)準(zhǔn)發(fā)展到現(xiàn)在，應(yīng)用的狀況并不是特別理想。

可擴(kuò)展的訪問控制標(biāo)記語(yǔ)言(XACML)是目前新興的授權(quán)描述標(biāo)準(zhǔn)，和SAML一樣，也是由OASIS定義，它擴(kuò)展了傳統(tǒng)的訪問控制列表(ACLs)技術(shù)，提供了表達(dá)復(fù)雜邏輯策略的能力，使得應(yīng)用程序更加靈活地使用訪問控制策略。

Java容器授權(quán)合同(JACC)是一種被工業(yè)界實(shí)際采用卻未標(biāo)準(zhǔn)化的技術(shù)標(biāo)準(zhǔn)，基于JAVA構(gòu)建的大型企業(yè)應(yīng)用都在不經(jīng)意間使用了該項(xiàng)技術(shù)，比如在Portal、App Server領(lǐng)域，占據(jù)較大市場(chǎng)份額的商用系統(tǒng)都內(nèi)置了對(duì)該技術(shù)的支持。