Autenticazione centrale

Naviga le tue risposte
1

Sto progettando un sistema composto da diversi servizi. Alcuni possono essere colpiti solo dall'interno della nostra rete e alcuni possono essere colpiti esternamente. Uno di questi servizi è un servizio di "accesso" o "autenticazione".

Il mio pensiero è che un utente effettui il login con un nome utente / password da inviare al servizio di autenticazione. Questo servizio restituirà una sorta di token di autenticazione che garantisce l'accesso agli altri servizi vincolati dai privilegi forniti a quell'utente.

Quali sono le migliori pratiche per la progettazione sicura di tale infrastruttura? Qual è la risorsa che consigli per una lettura più approfondita?

    
posta John Wood 07.02.2013 - 15:59
fonte

3 risposte

1

Sembra che tu voglia qualcosa come Kerberos. La versione breve di ciò che fa Kerberos è che un singolo server è responsabile dell'autenticazione e quindi genera un Ticket Granting Ticket per l'utente che può essere utilizzato dall'utente per un periodo di tempo come prova che l'utente si è verificato con il Kerberos server.

I servizi possono quindi sfidare il TGT (ticket di concessione del ticket) che l'utente ha e l'utente può rispondere alla sfida per dimostrare di essere il titolare del TGT e che il TGT è originato dal servizio di autenticazione Kerberos. Pertanto, il servizio sa di consentire all'utente l'accesso.

    
risposta data 07.02.2013 - 16:07
fonte
0

Alcuni membri del MIT, dove è stato creato il sistema di autenticazione Kerberos, hanno scritto una riproduzione, chiamata Progettazione di un sistema di autenticazione: un dialogo in Four Scenes che descrive nei passaggi i vari attacchi che un sistema di autenticazione può sopportare e come vengono contrastati da Kerberos.

    
risposta data 07.02.2013 - 16:42
fonte
0

Se vuoi SSO, ci sono un certo numero di soluzioni open source, JOSSO, Gluu, CAS. ecc.

    
risposta data 07.02.2013 - 20:17
fonte

Leggi altre domande sui tag

L'attività sospetta della rete potrebbe essere causata da un rootkit? Cuckoo sandbox python errori dopo l'invio di attività