通过 SSO 进行身份验证时，密钥或私有密钥是否安全？答案

【问题标题】：Are Secret, or Private, keys safe when authenticating through SSO?通过 SSO 进行身份验证时，密钥或私有密钥是否安全？
【发布时间】：2011-12-07 01:57:08
【问题描述】：

在我工作的地方，单点登录到其他应用程序风靡一时。但是，在处理我继承的一些代码时，我发现我们的一个第三方（一家大公司）使用密钥、时间戳和用户 ID 的组合来验证他们的系统。所有这些信息都通过查询字符串（MD5 哈希）通过 SSL 传递。我和我的同事发现了这一点，因为我们知道这个（开源）SSO 解决方案是如何工作的，所以我们能够简单地生成我们自己的查询字符串并在没有密码的情况下登录到任何人的帐户！不用说，我们迅速压制了这个 SSO 功能。

无论如何我都不是安全专家，但这样使用，这样的密钥不是非常危险吗？特别是因为第三方的 SSO “连接器”是开源的。他们建议经常更换密钥，但就像我说的，这似乎太容易暴力破解了；猜一个密码等于访问每个人的帐户！请让我知道你的想法和意见，赐教:)

【问题讨论】：

md5 不是一种加密方法。
嘿，Rook，哎呀不是故意的！这实际上是让我更加关注它的原因。
我假设你的私钥和公钥是用 512 位 RSA 加密的。除非两个密钥都完全公开，否则破解密钥并非易事。
所以你能找出秘钥？
@ShivanRaptor 我不确定，第三方源不可用，但他们的插件是 OSS。

标签： security single-sign-on

【解决方案1】：

SSO 的安全级别归结为特定产品的实施。我不是 SSO 或安全方面的专家。但 OpenID 是一个不错的选择：http://en.wikipedia.org/wiki/Openid。顺便说一句，StackOvewfloe 也在使用 OpenID。

【讨论】：

除了OpenID，我会建议使用Facebook SSO / Google SSO 给用户更友好的用户体验。

【解决方案2】：

只要私钥保持私密，SSO 就非常省钱。密钥应使用 512 位 RSA 或其他方式加密，因此很难暴力破解。但是，如果私钥和公钥都暴露了，那么整个系统就会崩溃，而不仅仅是 SSO。私钥应该保持私密，不应该暴露给任何人。所以我已经想知道这种情况下的密钥是否与私钥相同。如果是这种情况，那么第三方的实施就很糟糕。

【讨论】：