剖析LtpaToken（实现B/S应用间的安全SSO）

一、  WebSphere与Domino之间的SSO

       首先让我们来了解一下Websphere与Domino之间是怎么完成SSO的：

 

1、  Web用户向Websphere发起一个登录请求。

2、  Websphere判断为合法用户，登录成功。

3、  生成ltpatoken，将ltpatoken写入cookie。

 

这样，当Web用户后续向Domino发起登录请求时，Domino会找到存放在cookie信息中的ltpatoken信息，并且认为这个ltpatoken有效，完成在domino的登录过程。那么这里会有2个疑问。第1个，Domino怎么会找的到Websphere存放的cookie，这就是为什么配置SSO的时候需要2个系统是在同一个DNS域下面，因为浏览器cookie共享的限制，跨域不能共享cookie嘛（当然也能用一些其他的手段生成跨域的cookie，这样其实通过一定的开发是可以让LTPATOKEN跨域的，本案例不讨论这个问题）。第2个问题，domino找到这个token之后，凭什么认识这个ltpatoken，并且认为它有效呢，所以要求domino和Websphere在生成ltpatoken的时候就有某种约定。这就是为什么配置Domino SSO文档的时候需要引入Websphere的密钥了。有了这些前提Domino和Websphere之间就能互相认识对方生成的ltpatoken，并且从中读出需要登录的用户名，只要用户名匹配得上（这就是为什么W和D需要用同一个LDAP目录），该用户就完成登录了。 以上就是简单的Websphere与Domino之间SSO的原理。当然其实SSO过程还没有这么简单，比如还需要验证ltpatoken的有效期等。

       现在我们知道实现SSO的关键在于LtpaToken，Websphere与Domino之间采用LtpaToken来共享认证信息。

那么基本上任何一个系统只能要完成以下2件事情，它就有可能参与LtpaToken认证的SSO方案了：

1、  能生成一个有效的LtpaToken提供给别人。     

2、  能解析一个别人生成的LtpaToken。

另外，可能还有一些要求：

1、  参与SSO的系统使用同样的密钥生成LtpaToken，称为公钥。

2、  参与SSO的用户帐号名称在各系统中一致，因为每个系统从Token中读出了用户名之后必须要正确关联到本地对应的用户进行登录。

3、  参与SSO的系统必须在同一个DNS域下面（跨域的问题前面提过）。

4、  最后当然需要采用B/S方式，浏览器必须支持Cookies了。

 

 

 

 

 

 

 

 

 

 

一、  LtpaToken组成原理

通过了解LtpaToken的组成原理，我们就可以自己编码生成和解析LtpaToken了。首先一个LtpaToken的合成公式如下：

[token] = BASE64([header][creation time][expiration time][username][SHA-1 hash])

解释：

n         Header:  LtpaToken 版本（长度4），Domino的固定为[0x00][0x01][0x02][0x03]

n         Creation time: 创建时间戳（长度8），格式为Unix time比如[2010-03-12 00:21:49]为4B99189D

n         expiration time：过期时间戳（长度8） 同上

n         username： 用户名（长度不定）

n         SHA-1 hash：SHA-1校验和（长度20）

如下图：

 

 

上面的SHA-1校验和，又是由前面所说的密钥和其余的Token资料合并而成，合成公式如下：

[SHA-1 hash] = SHA-1([header][creation time][expiration time][username][shared secret])

 

所以，如果有人篡改了Token，那校验和就与修改后的Token匹配不上了，这样Token一旦生成，有人想要修改它的信息，比如改成别的用户名，是不可能的。

二、  Domino如何处理LtpaToken

查看一下domino的Web SSO配置文档：

1、  Domino生成LtpaToken的密钥存放在LTPA_DominoSecret字段

2、  LTPA_TokenExpiration字段存放失效分钟数。

3、  LTPA_TokenName字段存放Token表示在cookie的name

….如下图：

 

再加上上面分析过的LtpaToken组成原理，我们大概可以知道domino是怎么生成LtpaToken的了。详细的debug信息可以通过在notes.ini里面配置条目DEBUG_SSO_TRACE_LEVEL=2之后去查看日志。

      

       Domino解析LtpaToken步骤：

1、  Base64解码LtpaToken。

2、  截取最前面20字节，最后面20字节，中间部分就是用户名。如果用户名在本系统中不正确，返回无效的LtpaToken。

3、  截取最后面20字节，是SHA-1校验和。用Token中的其余部分和本系统中的密钥生成新的SHA-1校验和，如果2个校验和不匹配。返回无效的LtpaToken。

4、  当前服务器时间必须大于创建时间，小于失效时间。否则返回无效的LtpaToken。

5、  最后解析通过了，完成用户的登录

 

6、    在Java应用上实现生成和解析LtpaToken的测试

2.1    生成LtpaToken的测试

 

文件列表：

Base64.java            base64编码和解码的类

Bundle.java            properties资源文件的处理类

LtpaConfig.java      Token资料配置类。

LtpaToken.java       产生和解析LtpaToken的类

LtpaConfig_zh_CN.properties       配置文件

 

第一步，配置LtpaConfig_zh_CN.properties，填好ltpaSecret。这个值本身是base64编码。

如果是和domino做sso。需要从domino的web sso文档中获取，见上一张图。

tokenDomain信息是生成http cookie的时候用的，本测试中暂不用到。

tokenExpiration是生成LtpaToken时用的，本测试中暂也不用。

 

第二步，添加一个测试的类：

在main函数中输入以下测试代码:

 

Date date = new Date();

String user="CN=Admin/O=S3D";

LtpaToken generate = LtpaToken.generate(user, date, new Date(date.getTime() + 20*60000));

System.out.println(generate);

 

以上代码为CN=Admin/O=S3D生成一个20分钟有效期的LtpaToken。

输出：

 

 

到domino去验证Token的有效性：

1、  复制上面产生的Token.

2、  打开IE，输入Domino服务器的首页地址：http://devp.s3d.com/

3、  出现登录页面，这里不输入用户名和密码。直接在IE地址栏里面输入：  

javascript:alert(document.cookie="LtpaToken=AAECAzRCOTlEOTQxNEI5OURERjFDTj1BZG1pbi9PPVMzRKb6cFIxqIX+lGjQhDDWaeN4IvXe");

以上红色部分是复制的Token

4、  弹出对话框，cookie设置成功，按F5刷新页面，成功以Admin身份登录Domino主页，LtpaToken测试成功。

 

2.2    解析LtpaToken的测试

下面测试解析一个由Domino产生的LtpaToken。

1、  打开一个新的IE窗口，输入Domino服务器的首页地址：http://devp.s3d.com/

2、  输入一个普通用户的帐号/密码，正常进入首页。

3、  在IE地址栏输入：javascript:document.write(document.cookie)

4、  复制出Cookie中的LtpaToken的值，如：

AAECAzRCOTlEQTZGNEI5QTgzMkZDTj1saXVnYW5nMi9PPWVzc2VuY2VzZNmGPcgH0NQxnrhgnn1/JrPkHgg=

 

在测试类中添加以下测试代码：

LtpaToken ltpa = new LtpaToken("AAECAzRCOTlEQTZGNEI5QTgzMkZDTj1saXVnYW5nMi9PPWVzc2VuY2VzZNmGPcgH0NQxnrhgnn1/JrPkHgg=");

    //从token中取出用户名

        System.out.println(ltpa.getUser());

    //验证一个token是否有效

        if(ltpa.isValid()){

        System.out.println("token是有效的");

        }

输出以下内容：

 

到这里，解析LtpaToken测试成功。

 

7、    总结

LtpaToken非常安全方便，不失为一种较好的SSO解决方案。

1、  通过以上对LtpaToken的了解：可以给大多数B/S应用配置使用基于LtpaToken的SSO。