本發(fā)明涉及船舶電子信息技術(shù)，尤其涉及一種集成異構(gòu)艦載信息系統(tǒng)的統(tǒng)一安全認(rèn)證平臺(tái)。

背景技術(shù)：

隨著各類大型水面艦船信息化程度的提高，各種業(yè)務(wù)應(yīng)用系統(tǒng)，包括動(dòng)力監(jiān)控、電力監(jiān)控、輔助系統(tǒng)、綜合艦橋、綜合保障等，極大地提高了艦載信息系統(tǒng)的敏捷性、智能性和精確性。而根據(jù)gjbz20107-93(軍隊(duì)涉密信息系統(tǒng)安全保密要求)，各類艦載信息系統(tǒng)需要對(duì)訪問用戶進(jìn)行身份認(rèn)證。

然而，當(dāng)前艦載信息系統(tǒng)的身份鑒別存在如下安全問題：

1)艦載信息系統(tǒng)通常采用傳統(tǒng)的口令認(rèn)證方式，但這種方式極易被猜測(cè)、非法獲取或截獲。假冒身份非法訪問艦載信息系統(tǒng)，將會(huì)導(dǎo)致機(jī)密信息泄露，或破壞艦載信息系統(tǒng)，使系統(tǒng)運(yùn)行不正常。此外，口令繁多也是一個(gè)重要問題。由于這些艦載信息系統(tǒng)互相獨(dú)立，用戶在使用每個(gè)艦載系統(tǒng)之前都必須按照相應(yīng)的系統(tǒng)身份進(jìn)行登錄，為此用戶必須記住每個(gè)系統(tǒng)的用戶名和密碼，這給用戶帶來了不少麻煩。

2)各艦載信息系統(tǒng)信息無法共享，形成信息孤島。由于各艦載信息系統(tǒng)的用戶身份信息內(nèi)容和數(shù)據(jù)格式不統(tǒng)一，沒有統(tǒng)一的用戶身份信息，無法進(jìn)行信息共享，無法實(shí)現(xiàn)互連互通。艦船用戶在所有艦載信息系統(tǒng)中都存在用戶信息，而由于對(duì)用戶信息的管理沒有統(tǒng)一的規(guī)劃設(shè)計(jì)，造成一個(gè)用戶在多個(gè)艦載信息系統(tǒng)中有不同的用戶信息，信息重復(fù)且不準(zhǔn)確，用戶管理十分繁瑣，沒有統(tǒng)一共享的用戶信息，造成許多共享資源信息系統(tǒng)無法向更多的用戶開放，或無法確認(rèn)用戶可信的身份，艦船平臺(tái)的整體信息共享的價(jià)值不能體現(xiàn)出來。

然而，由于多種艦載信息系統(tǒng)并存環(huán)境下用戶信息數(shù)據(jù)的多源性、異構(gòu)性以及不同登錄認(rèn)證機(jī)制，使得艦船的統(tǒng)一安全認(rèn)證過程非常復(fù)雜。對(duì)此，本成果提出一種集成異構(gòu)艦載信息系統(tǒng)的統(tǒng)一身份認(rèn)證平臺(tái)，用戶只需要在網(wǎng)絡(luò)中主動(dòng)地進(jìn)行一次身份認(rèn)證過程，通過認(rèn)證后就攜帶被信任的授權(quán)票據(jù)訪問其被授權(quán)使用的所有處在網(wǎng)絡(luò)上的資源，而不需要其主動(dòng)參與其后的身份認(rèn)證過程，從而實(shí)現(xiàn)艦船平臺(tái)多種異構(gòu)信息系統(tǒng)的統(tǒng)一集成登錄與安全認(rèn)證管理，提高艦船平臺(tái)整體信息安全水平。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明要解決的技術(shù)問題在于針對(duì)現(xiàn)有技術(shù)中的缺陷，提供一種集成異構(gòu)艦載信息系統(tǒng)的統(tǒng)一安全認(rèn)證平臺(tái)。

本發(fā)明解決其技術(shù)問題所采用的技術(shù)方案是：一種集成異構(gòu)艦載信息系統(tǒng)的統(tǒng)一安全認(rèn)證平臺(tái)，包括：

基于cas的統(tǒng)一登錄身份認(rèn)證系統(tǒng)，用于對(duì)用戶進(jìn)行登錄驗(yàn)證；具體如下：

首先統(tǒng)一登錄身份認(rèn)證系統(tǒng)將攔截各類艦載信息系統(tǒng)所有的用戶請(qǐng)求，如果用戶已經(jīng)登錄，則將用戶請(qǐng)求直接放行，用戶可以訪問系統(tǒng)資源；如果用戶之前未登錄該應(yīng)用系統(tǒng)，則過濾器檢查用戶請(qǐng)求中是否含有身份票據(jù)，如果有身份票據(jù)且通過詢問統(tǒng)一身份認(rèn)證服務(wù)器判斷身份票據(jù)合法，則對(duì)用戶請(qǐng)求放行，同時(shí)設(shè)置用戶狀態(tài)為已登錄；如果用戶沒有身份票據(jù)或者身份票據(jù)不合法，則過濾器將拒絕用戶的請(qǐng)求，并將用戶重定向至統(tǒng)一身份認(rèn)證服務(wù)器的統(tǒng)一登錄界面；

統(tǒng)一身份認(rèn)證服務(wù)器，用于對(duì)用戶進(jìn)行密碼驗(yàn)證，驗(yàn)證通過后，由統(tǒng)一身份認(rèn)證服務(wù)器通過ssl安全通道向用戶發(fā)放登錄其他應(yīng)用系統(tǒng)的一次性加密身份票據(jù)和服務(wù)票據(jù)；

異構(gòu)系統(tǒng)信息共享數(shù)據(jù)庫，用于多個(gè)異構(gòu)信息系統(tǒng)間的用戶身份信息同步交互、共享存儲(chǔ)和用戶的角色權(quán)限信息統(tǒng)一管理存儲(chǔ)；應(yīng)用系統(tǒng)安全代理服務(wù)器，用于收到用戶提供的身份票據(jù)后，向統(tǒng)一身份認(rèn)證服務(wù)器求證票據(jù)的合法性，如果統(tǒng)一身份認(rèn)證服務(wù)器返回票據(jù)合法信息，則應(yīng)用系統(tǒng)安全代理服務(wù)器確認(rèn)用戶合法。

按上述方案，所述身份票據(jù)為設(shè)置在設(shè)定時(shí)間(15分鐘)后自動(dòng)過期的身份票據(jù)。

按上述方案，所述身份票據(jù)采用ssl加密傳輸通道，身份票據(jù)內(nèi)容在傳輸之前被用證書進(jìn)行了非對(duì)稱加密。

按上述方案，所述身份票據(jù)存儲(chǔ)在瀏覽器程序的內(nèi)存之中。

按上述方案，所述服務(wù)票據(jù)為用于記錄用戶每次登錄應(yīng)用系統(tǒng)服務(wù)器的行為和日志信息的票據(jù)。

按上述方案，所述服務(wù)票據(jù)被設(shè)置為一次性票據(jù)，服務(wù)票據(jù)一旦被用過一次以后就失效，如果用戶需要再次登錄該應(yīng)用系統(tǒng)則需要再次申請(qǐng)服務(wù)票據(jù)。

按上述方案，所述服務(wù)票據(jù)被設(shè)置了極短的生命周期，生命周期不超過10s，也即服務(wù)票據(jù)在申請(qǐng)完成之后必須在10s中之內(nèi)使用，否則就會(huì)自動(dòng)過期。

本發(fā)明產(chǎn)生的有益效果是：本發(fā)明針對(duì)艦船平臺(tái)下多種艦載信息系統(tǒng)的用戶信息數(shù)據(jù)集成共享及統(tǒng)一安全登錄認(rèn)證機(jī)制問題，提出了一種基于cas實(shí)現(xiàn)的統(tǒng)一身份認(rèn)證平臺(tái)。可實(shí)現(xiàn)艦船平臺(tái)多種異構(gòu)信息系統(tǒng)的統(tǒng)一集成登錄與安全認(rèn)證管理，從而提高艦船平臺(tái)整體信息安全水平。

附圖說明

下面將結(jié)合附圖及實(shí)施例對(duì)本發(fā)明作進(jìn)一步說明，附圖中：

圖1是本發(fā)明實(shí)施例的統(tǒng)一身份認(rèn)證平臺(tái)結(jié)構(gòu)示意圖；

圖2是本發(fā)明實(shí)施例的基于cas的統(tǒng)一認(rèn)證集成框架示意圖；

圖3是本發(fā)明實(shí)施例的用戶身份信息共享存儲(chǔ)示意圖；

圖4是本發(fā)明實(shí)施例的統(tǒng)一身份認(rèn)證信息流程圖；

圖5是本發(fā)明實(shí)施例中統(tǒng)一認(rèn)證系統(tǒng)部署示意圖；

圖6是本發(fā)明實(shí)施例中統(tǒng)一認(rèn)證系統(tǒng)與其它應(yīng)用系統(tǒng)接口示意圖。

具體實(shí)施方式

為了使本發(fā)明的目的、技術(shù)方案及優(yōu)點(diǎn)更加清楚明白，以下結(jié)合實(shí)施例，對(duì)本發(fā)明進(jìn)行進(jìn)一步詳細(xì)說明。應(yīng)當(dāng)理解，此處所描述的具體實(shí)施例僅用以解釋本發(fā)明，并不用于限定本發(fā)明。

如圖1所示，針對(duì)艦船平臺(tái)下多種艦載信息系統(tǒng)的用戶數(shù)據(jù)資源類型與安全訪問需求，提出基于cas實(shí)現(xiàn)的統(tǒng)一認(rèn)證集成框架，建立統(tǒng)一用戶認(rèn)證及角色信息共享模型，并進(jìn)行角色權(quán)限以及認(rèn)證服務(wù)安全管理設(shè)計(jì)，從而實(shí)現(xiàn)艦船平臺(tái)多種異構(gòu)信息系統(tǒng)的統(tǒng)一集成登錄與安全認(rèn)證管理。

一種集成異構(gòu)艦載信息系統(tǒng)的統(tǒng)一安全認(rèn)證平臺(tái)，包括：

(1)基于cas的統(tǒng)一登錄身份認(rèn)證系統(tǒng)

基于cas的統(tǒng)一登錄身份認(rèn)證系統(tǒng)采用模塊化結(jié)構(gòu)設(shè)計(jì)，由終端用戶、注冊(cè)中心(ra)、認(rèn)證中心(ca)、ra管理員和ca管理員等構(gòu)成，其中注冊(cè)中心(ra)和認(rèn)證中心(ca)又包含相應(yīng)的模塊，系統(tǒng)架構(gòu)如圖2所示。

統(tǒng)一身份認(rèn)證系統(tǒng)能提供完善的功能，包括：證書簽發(fā)、證書生命周期管理、證書吊銷列表(crl)查詢服務(wù)、目錄查詢服務(wù)、ca管理、密鑰管理和日志審計(jì)等全面的功能。

統(tǒng)一身份認(rèn)證系統(tǒng)的所有模塊可以安裝在同一臺(tái)服務(wù)器上，也可以采用多臺(tái)服務(wù)器分別安裝各模塊。根據(jù)艦載信息系統(tǒng)的實(shí)際需求，采用雙服務(wù)器安裝整個(gè)cas認(rèn)證系統(tǒng)，主備服務(wù)進(jìn)行雙活容錯(cuò)設(shè)計(jì)。

(2)統(tǒng)一用戶認(rèn)證及角色信息共享模型

總體而言，統(tǒng)一身份認(rèn)證系統(tǒng)不再使用傳統(tǒng)各信息系統(tǒng)基于用戶名和密碼的身份認(rèn)證機(jī)制，用戶只需要在網(wǎng)絡(luò)中主動(dòng)地進(jìn)行一次身份認(rèn)證過程，用戶通過認(rèn)證后就攜帶被信任的授權(quán)票據(jù)訪問其被授權(quán)使用的所有處在網(wǎng)絡(luò)上的資源，而不需要其主動(dòng)參與其后的身份認(rèn)證過程。用戶的賬號(hào)信息與授權(quán)票據(jù)是集中保存和管理的，并結(jié)合密碼學(xué)技術(shù)進(jìn)行加密，大大提高系統(tǒng)的安全性，同時(shí)也可以保證用戶的電子身份標(biāo)識(shí)能安全、高效地在網(wǎng)絡(luò)中傳送。

①統(tǒng)一身份認(rèn)證服務(wù)器

在艦船平臺(tái)環(huán)境下設(shè)立一個(gè)集中的統(tǒng)一身份認(rèn)證服務(wù)器，該集中認(rèn)證服務(wù)器通過數(shù)字證書向所有用戶和應(yīng)用服務(wù)器表明自己的身份。統(tǒng)一身份認(rèn)證服務(wù)器負(fù)責(zé)對(duì)用戶進(jìn)行密碼驗(yàn)證，用戶登錄其他應(yīng)用系統(tǒng)時(shí)，首先通過用戶名密碼登錄到統(tǒng)一身份認(rèn)證服務(wù)器，由統(tǒng)一身份認(rèn)證服務(wù)器向用戶發(fā)放登錄其他應(yīng)用系統(tǒng)的一次性票據(jù)。

用戶登錄使用票據(jù)而不是用戶名密碼向應(yīng)用系統(tǒng)服務(wù)器表明自己的身份，應(yīng)用系統(tǒng)服務(wù)器收到用戶提供的票據(jù)后，自身不能對(duì)票據(jù)的有效性進(jìn)行辨別，應(yīng)用系統(tǒng)服務(wù)器需要在后臺(tái)向統(tǒng)一身份認(rèn)證服務(wù)器求證票據(jù)的合法性，如果票據(jù)合法，則統(tǒng)一身份認(rèn)證服務(wù)器向應(yīng)用系統(tǒng)服務(wù)器返回票據(jù)的持有者身份信息，應(yīng)用系統(tǒng)服務(wù)器于是可以確認(rèn)用戶的身份。統(tǒng)一身份認(rèn)證模型架構(gòu)如圖2所示。

②系統(tǒng)數(shù)據(jù)庫

為了滿足用戶身份信息集中管理維護(hù)的需求，同時(shí)兼顧到各艦載信息系統(tǒng)獨(dú)立、數(shù)據(jù)異構(gòu)等信息特征，因此，在用戶信息資源共享方面，采取集中的用戶數(shù)據(jù)庫與分布的應(yīng)用系統(tǒng)角色數(shù)據(jù)庫的存儲(chǔ)方式。

如圖3所示，全艦共用一個(gè)統(tǒng)一的人事系統(tǒng)數(shù)據(jù)庫，該人事系統(tǒng)數(shù)據(jù)庫存儲(chǔ)全艦部門編制和人員編制列表，一般有獨(dú)立的人事管理系統(tǒng)或者具有人事管理功能的其他應(yīng)用系統(tǒng)維護(hù)，用戶的身份憑據(jù)信息(密碼)只存在于身份認(rèn)證數(shù)據(jù)庫，各類艦載信息系統(tǒng)分別存儲(chǔ)用戶在本系統(tǒng)中的角色權(quán)限信息。其中身份認(rèn)證數(shù)據(jù)庫、各應(yīng)用系統(tǒng)角色數(shù)據(jù)庫中的用戶列表均來自于人事系統(tǒng)數(shù)據(jù)庫，并通過自動(dòng)同步或者手動(dòng)同步的方式保持與人事系統(tǒng)數(shù)據(jù)庫中部門、人員編制列表的一致。

身份認(rèn)證信息流程：

統(tǒng)一登錄身份認(rèn)證系統(tǒng)的身份認(rèn)證基本流程如下：首先身份認(rèn)證將攔截各類艦載信息系統(tǒng)所有的用戶請(qǐng)求，如果用戶已經(jīng)登錄(一般通過sessioncookie進(jìn)行判斷)，則將用戶請(qǐng)求直接放行，用戶可以順利訪問系統(tǒng)資源，如果用戶之前未登錄該應(yīng)用系統(tǒng)，則過濾器檢查用戶請(qǐng)求中是否含有票據(jù)，如果有合法票據(jù)(通過詢問統(tǒng)一身份認(rèn)證軟件判斷票據(jù)合法性)，則對(duì)用戶請(qǐng)求放行，同時(shí)設(shè)置用戶狀態(tài)為已登錄，這樣用戶下次訪問時(shí)就可以直接放行，如果用戶沒有票據(jù)或者票據(jù)不合法，則過濾器將拒絕用戶的請(qǐng)求，并將用戶重定向至統(tǒng)一登錄界面。信息流程如圖4所示。

認(rèn)證服務(wù)安全管理：

對(duì)于本文提出的統(tǒng)一身份認(rèn)證模型而言，其安全性主要是考慮用戶密碼的安全性、身份票據(jù)和服務(wù)票據(jù)的安全性，因?yàn)樯矸萜睋?jù)是用戶登錄統(tǒng)一身份認(rèn)證服務(wù)器的憑據(jù)，而服務(wù)票據(jù)是用戶登錄各應(yīng)用系統(tǒng)的憑據(jù)，如果用戶的身份票據(jù)或服務(wù)票據(jù)被他人竊取，那么用戶的身份就可能被冒充，從而帶來安全性風(fēng)險(xiǎn)，下面分別對(duì)身份票據(jù)和服務(wù)票據(jù)的安全性進(jìn)行分析。

①用戶密碼的安全管理模型

在統(tǒng)一身份認(rèn)證模型中，統(tǒng)一身份認(rèn)證服務(wù)器代替其他應(yīng)用服務(wù)器進(jìn)行密碼驗(yàn)證，用戶登錄時(shí)，只需要向統(tǒng)一身份認(rèn)證服務(wù)器提交一次密碼即可，避免了向多個(gè)應(yīng)用服務(wù)器提交密碼而可能帶來的泄密問題。統(tǒng)一身份認(rèn)證服務(wù)器與客戶端電腦之間通過ssl加密通道傳輸用戶密碼，有效地保護(hù)了用戶密碼的安全。

②身份票據(jù)安全管理模型

對(duì)用戶來說，最重要是要保護(hù)它的身份票據(jù)，如果身份票據(jù)不慎被認(rèn)證服務(wù)器以外的實(shí)體獲得，黑客能夠找到該身份票據(jù)，然后冒充用戶訪問所有授權(quán)資源。

身份票據(jù)的安全性主要體現(xiàn)在兩個(gè)方面，一個(gè)方面是傳輸環(huán)節(jié)的安全性，另一個(gè)方面是存儲(chǔ)環(huán)節(jié)的安全性。

在傳輸方面，身份票據(jù)的傳輸采用了ssl加密傳輸通道，票據(jù)內(nèi)容在傳輸之前被用證書進(jìn)行了非對(duì)稱加密，因此身份票據(jù)不用擔(dān)心在傳輸過程中被他人竊取。

在存儲(chǔ)方面，身份票據(jù)存儲(chǔ)在會(huì)話cookie中，也即存儲(chǔ)在瀏覽器程序的內(nèi)存之中，由于身份票據(jù)沒有以文件的形式存儲(chǔ)于程序外部，因此不用擔(dān)心身份票據(jù)被人竊取。

另外，為了進(jìn)一步加強(qiáng)身份票據(jù)的安全性，身份票據(jù)可設(shè)置在一定時(shí)間(15分鐘)后自動(dòng)過期。

綜上，身份票據(jù)安全管理可以有效防御來自會(huì)話竊取攻擊、重放攻擊等攻擊方式帶來的威脅。

③服務(wù)票據(jù)安全管理模型

服務(wù)票據(jù)是用戶登錄具體應(yīng)用系統(tǒng)的憑證，如果被人掌握，那么有可能被人竊取該用戶在某一應(yīng)用系統(tǒng)的權(quán)限。

服務(wù)票據(jù)的傳輸通道包括三個(gè)部分：發(fā)放通道、提交通道和驗(yàn)證通道。發(fā)放通道是統(tǒng)一身份認(rèn)證服務(wù)器生成服務(wù)票據(jù)后傳遞給用戶的通道，提交通道是用戶將服務(wù)票據(jù)客戶端電腦提交到應(yīng)用系統(tǒng)服務(wù)器的通道，驗(yàn)證通道是應(yīng)用系統(tǒng)服務(wù)器將票據(jù)提交給統(tǒng)一身份認(rèn)證服務(wù)器的通道。其中發(fā)放通道和驗(yàn)證通道都有統(tǒng)一身份認(rèn)證服務(wù)器的參與，由于統(tǒng)一身份認(rèn)證服務(wù)器會(huì)強(qiáng)制要求進(jìn)行ssl加密傳輸，因此在發(fā)放通道和驗(yàn)證通道中不用擔(dān)心服務(wù)票據(jù)被竊取，但是提交通道很可能是不使用加密傳輸?shù)?，服?wù)票據(jù)在該通道傳輸時(shí)可能會(huì)被網(wǎng)絡(luò)黑客竊取。為了解決服務(wù)票據(jù)在提交通道可能會(huì)被竊取的問題，特地對(duì)服務(wù)票據(jù)進(jìn)行如下處理：

1)服務(wù)票據(jù)被設(shè)置為一次性票據(jù)，服務(wù)票據(jù)一旦被用過一次以后就失效，如果用戶需要再次登錄該應(yīng)用系統(tǒng)則需要再次申請(qǐng)服務(wù)票據(jù)。

2)服務(wù)票據(jù)被設(shè)置了極短的生命周期，一般不超過10s，也即服務(wù)票據(jù)在申請(qǐng)完成之后必須在10s中之內(nèi)使用，否則就會(huì)自動(dòng)過期。

通過以上兩種手段，使得即使黑客能夠竊取到用戶的服務(wù)票據(jù)，也會(huì)因?yàn)榉?wù)票據(jù)的失效而無法竊取到用戶的權(quán)限。

應(yīng)當(dāng)理解的是，對(duì)本領(lǐng)域普通技術(shù)人員來說，可以根據(jù)上述說明加以改進(jìn)或變換，而所有這些改進(jìn)和變換都應(yīng)屬于本發(fā)明所附權(quán)利要求的保護(hù)范圍。