在當(dāng)前的辦公環(huán)境及工作模式下，尤其是BYOD的盛行，你可能很容易接受一個(gè)新說法，即企業(yè)無法再依靠傳統(tǒng)的防火墻對(duì)企業(yè)IT架構(gòu)進(jìn)行控制了。
當(dāng)然，很多情況下企業(yè)的傳統(tǒng)防火墻還是會(huì)繼續(xù)正常工作，但是會(huì)出現(xiàn)越來越多例外的IT應(yīng)用超越防火墻的控制范圍。另外，隨著軟件即服務(wù)(SaaS)的應(yīng)用，企業(yè)的很多軟件本身就存在于于企業(yè)防火墻之外。
當(dāng)代的黑客越來越多的將目光聚焦到了企業(yè)的IT架構(gòu)上，并且經(jīng)常會(huì)裝扮成合法用戶訪問企業(yè)網(wǎng)絡(luò)。而企業(yè)所要做的就是將真正的合法用戶和黑客偽裝成的用戶區(qū)分開。
要對(duì)遠(yuǎn)程用戶提供與企業(yè)內(nèi)部用戶一樣的功能，同時(shí)還要將偽裝成合法遠(yuǎn)程用戶的黑客拒之門外，就需要企業(yè)將身份認(rèn)證系統(tǒng)從傳統(tǒng)的防火墻內(nèi)部直接擴(kuò)展到遠(yuǎn)程用戶的接入設(shè)備上。也就是說，身份驗(yàn)證的范圍大幅度擴(kuò)展了。
采用這一理念的技術(shù)，即單點(diǎn)登錄(single sign-on，SSO)并不是什么新技術(shù)，它一直以多種方式出現(xiàn)在我們周圍。
傳統(tǒng)的身份和接入管理服務(wù)供應(yīng)商，如著名的CA, Oracle 以及 IBM等，都在多年前就已經(jīng)擁有了自己的SSO系統(tǒng)。當(dāng)時(shí)這種系統(tǒng)的最主要用途是幫助用戶避免記憶多個(gè)用戶名和密碼，因?yàn)橐坏┯脩艚o自己設(shè)定的用戶名和密碼過多，他們就會(huì)將這些用戶名和密碼記錄在紙上而不是腦子里，反而增加了安全風(fēng)險(xiǎn)。
但這些傳統(tǒng)廠商正在面對(duì)來自新的競(jìng)爭(zhēng)對(duì)手的挑戰(zhàn)。這些新的競(jìng)爭(zhēng)對(duì)手們所設(shè)計(jì)的SSO能夠支持如今越來越普遍的遠(yuǎn)程用戶登錄，以及使用用戶自己的電子設(shè)備的登錄行為，還能夠支持被越來越多企業(yè)選擇的SaaS。
這些新興的廠商包括 Ping Identity, Okta, Symplified 以及SaaSID，而更令人刮目相看的是Imprivata公司，它已經(jīng)占領(lǐng)了北美醫(yī)療系統(tǒng)SSO市場(chǎng)的大部分領(lǐng)土。
連接合法用戶和資源的橋梁
各個(gè)廠商開發(fā)單點(diǎn)登錄系統(tǒng)的目的就是為了建立一個(gè)安全的身份認(rèn)證平臺(tái)，不論用戶身處何地，某個(gè)企業(yè)的IT架構(gòu)都能夠延伸到用戶所在的位置。實(shí)際上，SSO系統(tǒng)在扮演一個(gè)身份橋梁的作用，它將合法的用戶與該用戶所需訪問的資源安全的連接起來。
這些單點(diǎn)登錄系統(tǒng)的功能遠(yuǎn)不止這一點(diǎn)，在某些情況下，它的附加價(jià)值要遠(yuǎn)大于作為身份橋梁的價(jià)值。事實(shí)上，有時(shí)候SSO甚至不需要知道用戶的身份信息就可以提供用戶所需的內(nèi)容了。
比如，某個(gè)網(wǎng)絡(luò)用戶打算去旅游，于是他開始在旅行社網(wǎng)站上瀏覽。在考慮預(yù)定旅游服務(wù)前，他可能只想了解旅游的機(jī)票費(fèi)用，目的地的租車費(fèi)用和酒店費(fèi)用等信息。SSO系統(tǒng)可以提供一個(gè)聯(lián)合登錄方式供用戶詢價(jià)，在用戶決定訂購(gòu)旅行服務(wù)后再提供更多的信息。
在這個(gè)過程中當(dāng)然會(huì)需要用戶的身份信息。而出于某些原因，用戶完全可以自己編造一個(gè)身份信息，比如隨便寫個(gè)用戶名。但是最終這個(gè)身份信息會(huì)與用戶的真實(shí)郵箱地址以及真實(shí)的支付信息相關(guān)聯(lián)。
開放更多資源
在這種情況下， SSO系統(tǒng)如果與其它服務(wù)相關(guān)聯(lián)，就會(huì)開始建立和改進(jìn)新用戶的身份驗(yàn)證過程。當(dāng)新用戶的身份信息被建立，系統(tǒng)就會(huì)提供更多的信息給用戶，比如通過訂單系統(tǒng)查看用戶以前跟旅行社訂購(gòu)的旅游服務(wù)記錄。
其它的交易類型，尤其是B2B的交易，需要從已有的系統(tǒng)中獲取身份信息。比如要獲取某個(gè)企業(yè)的員工身份信息，需要從企業(yè)內(nèi)部的某個(gè)花名冊(cè)中取得，一般來說微軟的活動(dòng)目錄就是這樣的一個(gè)花名冊(cè)。
不過，當(dāng)要開放企業(yè)的應(yīng)用給兄弟企業(yè)或外部的業(yè)務(wù)用戶，最有價(jià)值的身份信息是來自外部的，比如兄弟企業(yè)自己的內(nèi)部名冊(cè)或成員數(shù)據(jù)庫(kù)。
對(duì)于消費(fèi)和商業(yè)用戶來說，社交網(wǎng)站比如Facebook和 LinkedIn在某些情況下都是不錯(cuò)的身份信息獲取渠道。
一系列的趨勢(shì)都意味著SSO系統(tǒng)越來越需要通過更多的資源獲取身份信息，從而對(duì)用戶身份進(jìn)行確認(rèn)。要讓這個(gè)過程變得盡可能簡(jiǎn)單， SSO系統(tǒng)以及身份信息來源就必須實(shí)現(xiàn)標(biāo)準(zhǔn)化。
身份和接入管理標(biāo)準(zhǔn)
為了支持SSO系統(tǒng)，一系列身份和接入管理標(biāo)準(zhǔn)被制定出來，包括用于存儲(chǔ)身份的輕量級(jí)目錄訪問協(xié)議(LDAP),以及用于分享這些內(nèi)容的安全聲明標(biāo)記語言(SAML) 。對(duì)于這些標(biāo)準(zhǔn)的理解以及廠商對(duì)于該標(biāo)準(zhǔn)的支持，是評(píng)估廠商SSO系統(tǒng)是否合格的一個(gè)重要因素。
合格的SSO系統(tǒng)有能力從更廣泛的渠道獲取身份信息并將其與多種應(yīng)用鏈接，使得業(yè)務(wù)過程以及供應(yīng)鏈變得更加綜合和高效。
比如，汽車零售商可以連接到汽車廠商的訂單系統(tǒng)，法官可以連接到法院管理系統(tǒng)以及執(zhí)法部門，都是SSO系統(tǒng)的例子。另外， SSO系統(tǒng)還可以傳遞部分管理策略，比如某個(gè)特定用戶可以訪問什么樣的資源，為不同的角色設(shè)定模板，簡(jiǎn)化用戶的服務(wù)開通手續(xù)等。
最重要的是，當(dāng)SSO系統(tǒng)與某個(gè)客戶的連接關(guān)系斷開后，SSO系統(tǒng)能夠確保該用戶訪問所有資源的權(quán)限都已經(jīng)被移除了。
將用戶訪問企業(yè)IT應(yīng)用和資源的范圍從企業(yè)防火墻內(nèi)擴(kuò)展到用戶的接入設(shè)備，會(huì)為企業(yè)帶來更多的實(shí)惠，但這企業(yè)一定要重視這個(gè)過程中的用戶接入、用戶行為監(jiān)視、控制用戶和斷開用戶連接等功能。而SSO系統(tǒng)正是幫助企業(yè)實(shí)現(xiàn)這一系列功能的有效途徑。
推薦閱讀
北京時(shí)間12月19日晚間消息，在要求禁售三星26款產(chǎn)品的申請(qǐng)被法院駁回后，蘋果又在等待要求三星追加支付5.35億美元賠償金的申請(qǐng)判決。 本周一，美國(guó)地方法院法官露西·科赫(Lucy Koh)駁回了蘋果的申請(qǐng)，未對(duì)三星26款產(chǎn)>>>詳細(xì)閱讀
本文標(biāo)題：黑客還是用戶?網(wǎng)絡(luò)世界如何分辨敵友
地址：http://www.sh-jijian.com/a/22/20121229/103416.html
網(wǎng)友點(diǎn)評(píng)
精彩導(dǎo)讀
科技快報(bào)
品牌展示