安全性说明

3.1二次密码登录

单点登录使用户能在一个入口完成登录后，一般情况下用户在点击应用图标时，直接通过相应的协议，登录到应用系统；但是有时要针对特定的用户、特定的应用进行二次密码校验的功能，防止关键系统的登录，导致的信息敏感泄露，比如财务系统或者个人工资账单，在实际工作中经常出现工作代理的情况，即使出现单点登录的密码泄露，二次密码也很好地保护敏感应用系统；

3.2 单点退出

单点退出是指用户在一个系统退出后，其所能单点登录访问的所有系统都同时退出。单点退出主要是为提高安全性，避免用户忘记退出所有应用而造成信息的泄密。 其实现方式也非常简单，由于SSO和单点登录的应用都是分开的，使用不同的域名，只是通过认证协议帮助用户在多个应用系统中传递身份和登录系统。因此，首先注销单点登录应用，然后修改每个应用系统都使用MaxKey的单点退出页面，单点登录的退出页面会将用户登录的Session注销掉。

3.3 会话超时设计

为节约服务端资源，并基于安全性考虑，对于长时间没有活动的客户端其会话将被自动终结。同时，为保证用户的单点登录不受影响，其所有超时都在MaxKey端集中控制，即MaxKey的会话超时时间比集成的应用系统会话超时时间略长。例如希望实现用户不活动30分钟就终止会话，则将MaxKey的不活动超时时间设置成30分钟，集成应用的不活动超时时间设置成40分钟。 如果用户登录后打开多个应用，并一直只访问某个应用，而其他应用长时间没有被访问导致应用会话超时，用户再次点击该已超时的应用时，用户会被应用要求重新登录。为避免这种情况，应用检测到用户会话超时后需将用户重定向到登录页面，MaxKey此时再次实现单点登录，登录成功后应用可重新将用户定向到期之前访问的URL或者该应用的首页。

3.4 防暴力破解

由于认证系统需对互联网提供服务，为避免互联网中恶意的暴力破解，系统需提供防暴力破解能力。防暴力破解的关键是提供一种机制，能阻止计算机用穷举法试探用户口令。 目前一种广泛使用的防暴力破解技术是CAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart），即在登录界面除用户名+口令之外再增加一个扭曲的数字或字母字段，让用户输入，这种字段人很容易看懂，但是计算机却很难识别，从而避免计算机用穷举法猜测用户密码，这种技术的应用在互联网应用上经常可以看到。

3.5 连续登陆次失败策略

使用连续多次登录失败即锁定帐号一定时间的设置，例如如果某个帐号连续6次登录失败就锁定该帐号两小时，这种方式也可以避免暴力破解。

3.6 静态密码策略

对密码进行限制无非是为了强制用户设置一个更加安全的密码，密码策略主要有以下几种：

（1）密码必须符合复杂性要求

（2）密码长度最小值

（3）密码最长使用期限

（4）密码最短使用期限

（5）强制密码历史

（6）使用可还原的加密存储密码

3.7 双因素身份认证

双因素身份认证就是通过你所知道再加上你所能拥有的这二个要素组合到一起才能发挥作用的身份认证系统。双因素认证是一种采用时间同步技术的系统，采用了基于时间、事件和密钥三变量而产生的一次性密码来代替传统的静态密码。每个动态密码卡都有一个唯一的密钥，该密钥同时存放在服务器端，每次认证时动态密码卡与服务器分别根据同样的密钥，同样的随机参数（时间、事件）和同样的算法计算了认证的动态密码，从而确保密码的一致性，从而实现了用户的认证。就像我们去银行办卡送的口令牌. 多因素认证（MFA），是一种计算机访问控制的方法，用户要通过两种以上的认证机制之后，才能得到授权，使用计算机资源。MFA的目的是建立一个多层次的防御，使未经授权的人访问计算机系统或网络更加困难，从而提高安全性。

3.8 单点登出

3.8.1 单点注销

单点注销是指用户在一个系统退出后，其所能单点登录访问的所有系统都同时退出。单点注销主要是为提高安全性，避免用户忘记退出所有应用而造成信息的泄密。

IDP支持单点注销(SLO),即用户不仅仅从认证中心注销，同时也注销从认证中心访问的应用系统。

其实现方式也非常简单，由于SSO和单点登录的应用都是分开的，使用不同的域名，只是通过认证中心在多个应用系统中传递身份和登录系统。因此，首先注销单点登录应用，然后修改每个应用系统都使用SSO的单点注销页面，SSO的退出页面会将用户登录的Session注销掉。

3.8.2 单点注销机制说明

登录完成后，会生成在线令牌，该令牌存储在Cookie和服务器中，当单点登录是会向应用传递在线令牌，应用通过判断令牌的状态检查当前用户是否在线，如果令牌失效，则应用自动注销，达到单点注销的功能。