资源目录

在完成日常工作中，用户可能不得不在许多不同的计算机和网络中登录。通常，每个系统都要求用户输入用户名和口令。因为对大多数用户来说记忆多个口令是困难的，这造成他们不得不将口令记在纸上（经常贴在计算机显示器上）否则就会忘记。用户的另一种做法是在所有的计算机系统中都使用一个相同的口令。但是，不同的系统有不同的口令规则，或口令的有效期不同，这又会造成用户将口令记录在纸上。

从提高效率的观点来说，用户希望只要登录一次就可以访问本地和远程系统中的各种应用和数据，即使这些系统要求用户进行认证。这被称为一次性登录。一次性登录这个词汇不太恰当。目前通过一次登录使用户可以访问所有想要访问的计算机系统还不现实。这里所说的一次性登录主要是针对一组系统（一个组织或联盟内）。认证数据库需要使用访问控制手段进行保护。鉴别和认证通常是访问控制的基础。回叫调制解调器和防火墙能够帮助防止黑客的登录企图。

如果访问发生在一台计算机内，那么使用当前的访问控制系统（如访问控制列表）就可以实现一次性登录。如果访问发生在多个平台中，那么情况就变得复杂了。一次性登录（SSO）系统应该使多个口令的使用对用户透明。这通过如下多种不同的方式实现：

有些一次性登录系统只是创建包含各种用户名和相应口令以及登录命令的脚本。这样减轻了用户的负担但却将维护这些脚本的负担传给了管理人员。这种脚本通常要求安全存放，因为滥用这些脚本将导致该用户在所有系统中的权限被非法利用。

另外的一次性登录如那些基于Kerberos使用了加密技术将用户的权限传送到用户需要访问的每个网络或服务器。这些系统需要建立和使用权限服务器，也要求将一次性登录技术整合到需要访问的每一个系统中。

在多计算机环境中实现一次性登录主要有三种技术：主机－对－主机的认证、认证服务器组和用户－对－主机的认证。

主机－对－主机的认证
使用主机－对－主机的认证方式，用户只需对一台主机认证自己的身份。这台计算机会对其它主机认证自己的身份并担保该用户。主机－对－主机的认证可以通过传输识别符、口令或通过征询－应答机制或其它一次性口令的方案实现。这种方式需要计算机实现互相识别和互相信任。

认证服务器组
当使用认证服务器组时，用户会一台特定的计算机主机（认证服务器）认证自己的身份。这台计算机对其它用户想要访问的计算机认证用户的身份。使用这种方式需要其它计算机信任认证服务器（认证服务器无需是一台独立的计算机，但是多数情况下这样做是比较有效和安全的）。如果需要，认证服务器可以在地理上或逻辑上分布使用以减少网络负荷。

用户－对－主机的认证
用户－对－主机的认证方式要求用户登录每一台计算机主机。但是，包含所有认证数据的智能令牌（如智能卡）可以完成这项任务。对于用户来说就像只有一次认证。

一次性登录和单点故障
单点故障是因为风险集中于一个位置或一个人而导致的安全风险。单点故障的例子包括一次性登录、防火墙、系统管理员和拨号网络电话。如果一次性登录系统无法工作或防火墙失效都会造成整个系统被攻破。如果系统管理员无法工作又没有后备人员，客户服务就会受到限制。如果拨号网络电话无法工作，呼叫请求就无法传入。为了将单点故障的损失和破坏降到最低限度需要补偿型控制、预备的设施、备用规程（fallback procedure）和（或）冗余特性。在一次性登录中安全和便捷需要进行平衡妥协。