【HTTP权威指南】笔记之三，识别、认证与安全

最新推荐文章于 2023-05-19 17:01:24 发布
最新推荐文章于 2023-05-19 17:01:24 发布
阅读量768 收藏
点赞数
分类专栏： 计算机网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yuizhou/article/details/30577595
版权

一. 客户端识别与cookie机制

服务器可以通过以下几种方式来识别客户端：

  1. HTTP header 属性
    from - 记录用户email （通常只有爬虫会填写，以便于管理）
    user-agent - 浏览器信息
    referer - 来源网页（从什么网页链接到该网站）
  2. IP跟踪识别
    在公共代理时会遇到麻烦
  3. 用户登录
    通过header的authorization属性来说明用户身份
  4. 胖URL
    对会话生成一个独特的ID， 并重写所有的url以便于标志这些页面都是同一个用户访问的。
    存在缺点（共享连接时信息泄露，破坏公共缓存，服务器负载，非持久）
  5.  cookie
    服务器会通过数据库存储cookie以为用户更个性化的服务
    客户端的cookie通常存在于一个txt文件中
    在处理缓存时，一般删除set-cookie首部，或者设置为must-revalidate以缓存cookie图片

二. 基本认证机制

认证流程：

  1. 用户请求某资源
  2. 服务器发送401 authorization required首部要求认证
  3. 用户输入账号密码，发送authorization首部
  4. 服务器验证并会送200 OK

三. 摘要认证

客户端使用约定好的随机数和密码进行计算得出一个摘要，以代替密码在网络中传输，在服务器端获得认证。


常见的摘要函数有MD5， MD5-sess(ion) 


预授权：在每条事务之后，为了避免客户端都向服务器询问随机数的开销，服务器将随机数连同上一次的200 OK一起发送给客户端


对称认证：客户端也可以向服务器认证，以确定这是真正的服务器


实际问题：

  1. 多重质询 - 由于不是所有客户端都支持很强的质询机制，服务器通常会发送很多种认证机制。最理想的做法是客户端选择最强的一种机制作为应答，但是通常客户端会选择第一种
  2. 差错处理 - 识别一些攻击现象
  3. 保护空间 - 认证域问题
  4. 重写URI - 一些代理或者浏览器会重写URI（比如转义或加上'/'），这样会破坏摘要
  5. 缓存 - 除非cache-control的值为must-revalidate或者public，否则一定不能讲这条响应用作其他任何请求
词典攻击：攻击者准备好一定数量的密码和随机数以及他们笛卡尔积生成的“摘要”，向客户端发送一定随机数，通过他的应答来确定本身密码


四. 安全HTTP

HTTPS相比HTTP在HTTP和TCP之间还有一个安全层（SSL或TLS）

SSL同HTTP的自然语义不同，是一个二进制传输协议，确认身份后生成临时的会话密钥来加密会话


通过证书来颁发密钥和签名


通过代理传输安全流量时，如果header已经被加密，则代理根本不知道这个信息将发往何方。

客户端会明文发送connect以告知代理


yuizhou
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
HTTP权威指南学习笔记
BatmanBruceWayne的博客
10-22 724
好久没写博客了，当初说好的要坚持写博客呢！都怪最近实在太忙了。。。 最近的工作中，需要根据实际场景处理HTTP请求，项目虽然已经有了现成的HTTP库，但是不能满足我们的需求，趁此机会正好好好学习一下HTTP。此文是HTTP权威指南的学习笔记，后续会写一系列的volley库、OKHTTP库的使用以及简单地源码分析，以及如何支持使用自签名证书的Https连接。下面就先记录一下HTTP权威指南这本书的学
项目管理笔记：项目管理学习笔记与经验教训
02-05
以下是对"项目管理笔记：项目管理学习笔记与经验教训"的详细解读。 1. **项目生命周期与阶段**： 项目通常经历启动、规划、执行、监控和收尾五个阶段。启动阶段确定项目可行性；规划阶段制定详细的项目计划；执行...
《HTTP权威指南》第三部分 识别、认证与安全 笔记草稿
weixin_34007879的博客
08-08 92
第十一章 客户端识别与cookie机制 第十二章 基本认证机制 用户名和密码都已以明文形式传送，没有任何措施防止对报文篡改。安全使用基本认证的唯一方式就是与SSL配合使用 复制代码 第十三章 摘要认证 摘要认证与基本认证兼容 复制代码 摘要认证对基本认证的改进 * 永远不会以明文方式在网络上发送密码 * 可以防止恶意用户捕获并重放认证的握手过程 * 可以有选择地防止对报文内容的篡改 * 防范其他几...
《HTTP权威指南 陈涓 赵振平》读书笔记
xiaosi的博客
05-19 982
1、POST和PUT的区别POST：将客户端数据发送到一个服务器网关应用程序PUT：将来自客户端额数据存储到一个命名的的服务器资源中2、HTTP报文：格式是纯文本，不是二进制代码，可以很方便的调试和拓展。报文分为请求报文和响应报文，格式很类似，主要包含以下三个部分：起始行、首部字段、（空行）、主体。3、HTTP协议：应用程协议，网络通信的底层细节由TCP/IP传输协议实现，保证无差错、按序传输、流式数据（可以在任何时刻以任意尺寸将数据发送出去）
Http权威指南笔记(十)——认证
VictorCatFish的博客
05-09 705
现在大多数网站都会在cookie等客户端识别机制的基础上建立自己的认证机制。但是HTTP规范中提供的原生认证机制还是有必要了解下，了解这些后才能更好理解那些自己建立的认证机制。 HTTP原生认证功能一般分为基本认证和摘要认证。基本认证相对简单，但是安全性相对较弱，摘要认证要复杂一些，当然安全性也会高一些。在介绍这两种认证方式之前，我们先看下HTTP中涉及到认证的一些通用概念。 1 HTTP认证机制...
2018年CISSP高分学习笔记
10-20
CISSP（Certified Information Systems Security Professional）是信息安全领域的权威认证，旨在测试并验证专业人员在信息安全管理和实践方面的知识和技能。2018年的CISSP高分学习笔记覆盖了多个关键章节，包括安全...
算法笔记上机训练实战指南(高清完整版)带你轻松高分过PAT、CCF
03-20
《算法笔记上机训练实战指南》是一本专为提升算法思维和程序设计能力而编写的实战教程，尤其针对ACM竞赛、PAT认证以及CCF（中国计算机学会）的相关考试。这本书以其高清完整的版本，提供了丰富的学习资源，旨在帮助...
CISSP资源培训笔记
03-21
CISSP，全称Certified Information Systems Security Professional，是信息安全领域的国际权威认证，旨在测试和验证专业人士在设计、实施和管理信息安全系统方面的知识和技能。这份"CISSP资源培训笔记"是针对CISSP...
CISSP官方学习指南（中文第7版）.rar
07-19
CISSP是信息安全领域最知名的国际认证之一，它涵盖了广泛的安全知识领域，包括安全与风险管理、资产安全、安全工程、通信与网络安全、身份与访问管理、安全评估与验证以及软件开发安全等。此中文版的第7版更新了最新...
pi_heif-0.17.0-cp310-cp310-manylinux_2_17_aarch64.whl
07-27
pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。
Numper基础（一）
07-27
Numper基础（一）
C语言写的潮流计算大作业代码.zip
07-27
c写的潮流计算大作业代码.zipc写的潮流计算大作业代码.zipc写的潮流计算大作业代码.zip
关于大模型的教程、调用和使用技巧的资源，帮助更多人高效地认知和使用大模型.docx
07-27
大模型（Large Models），尤其是指预训练的大规模语言模型，在自然语言处理（NLP）、计算机视觉（CV）等领域取得了显著的进步。以下是一些关于大模型的教程、调用和使用技巧的资源，帮助更多人高效地认知和使用大模型： 1. 大模型教程资源 官方文档： 大多数大型模型都会在其官方网站或GitHub页面上发布详细的文档，包括模型介绍、安装指南、使用示例等。 例如，Hugging Face的Transformers库提供了丰富的文档和教程。 在线课程： Coursera、edX等在线教育平台上提供了关于大模型的课程。 例如，斯坦福大学的NLP课程通常会涵盖最新的大模型技术。 博客文章： Medium、Towards Data Science等平台上有很多关于大模型的文章，这些文章通常由专业人士撰写，包含实战经验和技巧。 视频教程： B站（bilibili.com）和YouTube上有很多关于大模型的教程视频，适合初学者入门。 2. 调用API和使用技巧 Hugging Face Transformers： 提供了多种预训练模型的加载和调用方式。 Hugging Face文档 是一个非常
pi_heif-0.17.0-cp39-cp39-macosx_14_0_arm64.whl
07-27
pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。
微麦电影购票小程序，分为三部分-小程序端-商家（影院）后台与官方后台.zip
07-27
微麦电影购票小程序，分为三部分-小程序端-商家（影院）后台与官方后台.zip
[毕设]酒店管理系统PPT与源码展示.zip
07-27
[毕设]酒店管理系统PPT与源码展示
企业数字化运营管理总体规划方案
最新发布
07-27
本资料围绕总体信息化规划方案、智慧运营系统建设规划方案、阶段性建设方案等方面阐述企业数字化运营管理总体规划方案。
MATLAB hough变换答题卡识别（GUI，配论文）.zip
07-27
MATLAB hough变换答题卡识别（GUI，配论文）.zip
HTTP权威指南读书笔记：Web基础、安全性与内容分发
HTTP权威指南是一本深入解析HTTP协议的书籍，涵盖了Web的基础、结构、安全、内容发布等多个方面。以下是对书中部分知识点的详细阐述： 1. HTTP概述： - HTTP（Hypertext Transfer Protocol）是互联网上应用最广泛...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值