Transcript 下載/瀏覽

利用Reverse Proxy
建構安全性單一入口平台
作者: 蘇建郡、謝仁瑋
主講人:謝仁瑋
1
大綱
•
•
•
•
•
•
摘要
研究動機與目的
Reverse Proxy與Single Sign-on
系統架構
實驗結果
結論與未來發展
2
摘要
• 在校園中為因應不同的需求而開發了許多分散
且不同的系統，對使用者而言，卻常需要針對
不同的系統重覆登入帳號密碼。
• 本文中提出一個單一登入系統架構，以
reverse proxy為基礎，可以避免各個系統需
要重新登入的問題，架構設計上亦避免密碼於
網路上傳輸，以提升網站個人資訊的安全性。
3
研究動機
•在校園許多的系統中，各系統的登入頁面
各自分立，且並不是所有的登入頁面都是
使用SSL傳輸，帳號密碼等資訊暴露於網路
中的機率大大的增加，成為系統安全的隱
憂。
•使用者反覆輸入同樣的帳號密碼，遭受竊
取盜用的可能性非常的高。
4
研究目的
• 解決需要反覆輸入多次帳號密碼的問題。
• 提供一個安全性的入口網站。
5
Reverse Proxy
• Reverse Proxy是指Proxy Server接到網際
網路的連接請求，然後將請求轉送給內
部網路上的Web Server，並將從Web
Server上得到的結果返回給網際網路的
Client 。
• 其優點有：
– 安全
– 負載平衡
– 暫存
6
Single Sign-on
• 單一登錄（SSO）的機制，是指一個使用者
的經過使用者認證和授權後，就可以允許
使用者連接使用所有的系統
• 其優點如下：
– 便利性：減少重複輸入帳號密碼進行登入的
困擾和時間。
– 安全性：驗證系統集中管理可避免有心人士
從分散的 各服務系統中使用監測
封包軟體，竊取使用者帳號密碼
7
系統架構
•分為二個部份：
–Reverse Proxy：保護系統、暫存、資料轉送
–HttpHandler：進行帳密代填
Server
使用者
HttpHandler
Reverse Proxy
8
系統流程圖
是否已代填
開始
N
產生GUID值
並代填系統
登入
N
Y
是否成功
清除GUID值
Y
點選進入系統
使用該系統
結束
9
代填標準化代入之參數
• 當系統進行使用者的帳號密碼代填時，需瞭解校園
內部中各系統代入之參數，用以進行各系統登入驗
證之用。
–
–
–
–
–
–
–
–
http://網址/Instanter/PageLogin.aspx(登入頁面)
http://網址/Instanter/PageLogin.aspx(要登入網址)
http://網址/Instanter/ PageMyQuestion.aspx(登入後執行頁面)
登入目標的__VIEWSTATE值
登入目標的__EVENTVALIDATION值
登入的帳號id：TxtUid
登入的密碼id：TxtPwd
登入的登入按鈕id：BtnLogin
10
系統執行畫面
11
• 使用者在實際點選該系統時，伺服器會傳送使用的ID和GUID值。
這個GUID對於使用者而且並無任何意義，但對於伺服器幫使用
者取出和代填到該系統的重要依據
12
模擬冒用情況
•本研究預設某有心人士，將網路環境更改為使
用Hub或者將Switch將所有封包轉送到特定主
機中，並使用封包截取軟體監聽使用者。
•假設該有心人士已經從本系統所傳送之封包，
截取代填所用的ID和GUID值，進行盜用使用者
之行為。當盜用者嘗試使用截取而來的ID和
GUID值，試圖要盜用時因為GUID已經失效，所
以系統將自動轉回本系統登入頁面。
13
結論與未來發展
• 使用本系統，不僅能降低找尋系統和反
覆輸入帳號密碼的時間，更能可以增強
其安全性。
• 需要努力於效能的增強和防護的機制，
以因應集中網路流量所造成的問題。
14
謝謝指教
15