RFID安全新理念——身份认证

    标准是基础

    根据Burton集团提供的信息，身份认证同盟把SSO（单点登录）、身份认证镜像与账户链接、目录服务、授权和管理结合在一起。让所有这些组件在分布式异构环境中工作确实很艰难，没有普及的标准，所谓同盟将很难成行。标准是业界长期以来努力建立的同盟化身份认证的基石。

    到目前为止，最成功的“基石”当数SAML，一种用于服务器间交换安全信息的XML框架。在OASIS组织内部开发出来的SAML 1.1为 SSO、管理授权和策略管理定义了协议。Liberty Alliance在SAML的基础上开发了ID-FF（身份认证同盟框架），加入了账户链接和单点退出，并改进了在组织间建立信任的机制。随之而来的SAML 2.0将把大量Liberty Alliance的工作包含进来，旨在成为身份认证同盟的联合标准。

    为鼓励业界采用其标准，Liberty Alliance一直在积极地认证产品，这既是为了保证产品与标准之间的技术适用性，也是为了保证真实产品协同工作的能力。

    与此同时，微软和IBM也开发了他们自己经过OASIS批准的协议，这些协议都带有 “WS”（Web Services）前缀。其中，WS-Federation 规范草案在更大的 WS-Security（目前版本为 1.0）下定义了身份认证镜像机制。

    虽然同盟化身份认证的 Liberty Alliance 标准和 WS 规范在某些方面有重叠，但它们并不是互不兼容。Liberty Alliance致力于实现与WS-Security的互操作性，而部署了Web服务的企业通常把WS-Security与SAML结合使用。

    Sun公司营销经理Andrew Shikiar说：“市场上已经有产品和技术来实现身份认证同盟， 现在，客户面临的挑战是发展战略合作伙伴，然后从业务角度来实现同盟。”

    信任的问题

    Liberty Alliance的Nicholson说：“技术方面只需要让两台计算机对话，做起来相对容易，这样说也许会招致技术主义者的厌恶，但从另一方面讲，相对较难的问题是，两台计算机能够对话并不能保证彼此信任。”

    Burton 集团的高级副总裁兼研究总监Dan Blum把信任定义为 “基于组织间的关系而采取行动的能力。”把一个账户与另一个系统中的账户相映射是一回事，但要基于这种关系做出动作，企业就必须做出相应的定义。

    例如，数字身份赋予人们在一定的IT基础架构内的角色、特权和认可，但这些属性怎样应用到合作伙伴组织内完全不同的操作环境中呢？

    使用者对合作伙伴组织的数据有多大的权限？可以看到哪些数据，又可以改动哪些？在同盟关系中，合作伙伴组织怎么能够相信：身份认证准确地反映了使用者目前在其公司所处的位置？如何确保相互之间都尊重对方的隐私保护策略？

    Blum认为，真正有效的同盟化身份认证系统将类似于日常生活中的业务关系模式。问题的答案就是动态同盟——即使事先没有建立信任关系，也可以随时参与同盟活动。动态同盟的关键是身份认证网络的概念，即如果A信任B而且B信任C，A就知道自己可以信任C。然而，要创建这样的网络，合作伙伴组织要建立一套共享的规则。

    角色和责任

    当考虑到同盟关系的潜在后果时，责任就显得尤为重要。问题远不只是技术上的障碍，在同盟环境中，失败的交易将带来业务上的麻烦和潜在的法律责任。这些顾虑仍是那些在考虑同盟化身份认证的公司所面临的首要挑战。

    以一个财务服务公司为例，其应用程序通过同盟化SSO嵌入在一个企业门户中。假设一个用户使用门户界面开始进行交易，但在进程完成前会话超时退出，很可能导致用户失去一个生意。

    企业门户对该财务交易事务一无所知，它只是按照标准策略断开了长时间不活动的用户。另一方面，从财务应用程序的角度来看，它从未接收到一个完整的事务请求。在这种情况下，哪家公司该对失败的交易事务负责呢？

    不同行业的公司之间建立同盟关系还会带来其他无法预料到的问题，尤其是在当今规范化的环境中。