超大规模分布式安全系统实践-百度.pdf

百度 超大规模分布式安全系统实践 --欧阳君沛 个人介绍 百度分 腾讯分 布式安 布式安 全系统 腾讯电 全系统 （Giano ） 脑管家 QQ输 入法 大纲 背景介绍 分布式认证协议 单点登陆 域隔离 总结与展望 初来Baidu的时候 安全 性差 运维 各类 无法 困难 业务 审计 无法 打通 初来Baidu的时候 机器管理困难 •无法追溯责任人和行为 •信任关系、弱密码、默认密码横行 缺少系统性安全解决方案 •经常出现线下连线上的严重事故 从访问控制系统入手，逐步拓宽 大纲 背景介绍 分布式认证协议 单点登陆 域隔离 总结与展望 经典认证系统 • 一个经典的C-S认证过程 • 在CA端和Server端分别都有个中心式瓶颈 • Client的latency也很高 CA Server client Server (2) credential 解决Server瓶颈 – 共享密钥  引入新的问题 ，共享密钥给非信任第三方 taasd AS AS | TGS (2) Client TGS Client Server Server 解决Server瓶颈 – PKI CA瓶颈的解决方案 – agent+client_cache 进程级认证 • 安全性强于linux