http digest鉴权流程

FacelessVoid666

于 2024-12-11 07:52:25 发布

阅读量1.1k

点赞数 8

文章标签： http 网络协议网络

本文链接：https://blog.csdn.net/qq_22325611/article/details/144388674

版权

HTTP Digest Authentication 是一种通过加密方式进行身份验证的机制，它比传统的 Basic Authentication 更为安全，因为它不会在网络上传输明文密码。Digest Authentication 使用哈希算法（通常是 MD5 或 SHA）来加密用户的凭据，从而避免密码的明文泄露。

工作原理

HTTP Digest Authentication 通过在 HTTP 请求和响应头中传输一些加密信息，确保数据的安全性。它主要依赖以下几个元素来进行身份验证：

Username（用户名）
Realm（域名或保护区域，通常由服务器定义）
Nonce（一次性随机数，防止重放攻击）
URI（请求的资源标识符）
Response（响应哈希，包含加密后的密码）
QOP（Quality of Protection，可选项，用于定义安全等级）

认证流程

客户端发起请求： 客户端向服务器发送一个 HTTP 请求，服务器检查请求资源是否需要身份验证。如果需要身份验证，服务器返回一个包含 WWW-Authenticate 头的响应。该响应通常包括以下信息：
- Digest：表示使用 Digest Authentication
- realm：指定保护区域，告诉客户端进行身份验证时需要使用的用户名
- nonce：一个随机字符串，用于防止重放攻击
- qop：指定支持的安全保护级别（可选项）
- opaque：一个不透明的标识符，用于维持会话状态
示例：
```
httpCopy CodeHTTP/1.1 401 Unauthorized
WWW-Authenticate: Digest realm="example", qop="auth", nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093", opaque="5ccc069c403ebaf9f0171e9517f40e41"
```
客户端发送认证信息： 客户端收到 401 响应后，会根据服务器返回的 nonce、realm 和其他参数生成一个 响应哈希（response hash），并将它与用户名一起发送回服务器。客户端的请求头通常会包含以下字段：
- Authorization: Digest认证信息，其中包括：
  - username：用户名
  - realm：域名
  - nonce：服务器返回的随机字符串
  - uri：请求的资源标识符
  - response：客户端计算的加密响应
  - opaque：服务器返回的不透明标识符（如果提供）
  - qop：质量保护（可选）
  - nc（nonce count）：用于防止重放攻击的计数器（如果使用了 qop）
  - cnonce（客户端一次性随机数）：客户端生成的随机数（如果使用了 qop）
客户端计算哈希值的步骤如下：
1. 将 username、realm、password 和 nonce 组合后计算出一个哈希值（通常是 MD5）。
2. 用这个哈希值对请求的 URI、方法等进行进一步哈希处理。
3. 计算最终的响应哈希并将其包含在 Authorization 头中。
示例：
```
httpCopy CodeGET /protected/resource HTTP/1.1
Host: example.com
Authorization: Digest username="Mufasa", realm="example", nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093", uri="/protected/resource", response="6629fae49393a05397450978507c4ef1", opaque="5ccc069c403ebaf9f0171e9517f40e41"
```
服务器验证： 服务器接收到客户端的请求后，会根据客户端发送的哈希值和请求中的信息，重新计算哈希值。服务器需要以下信息来验证：
- 用户名和密码（通常会从数据库中获取）
- nonce（从客户端请求中提取）
- 请求的 URI
- 请求方法（例如 GET）
- response（客户端提供的响应哈希）
服务器通过以下步骤验证客户端的响应：
1. 服务器获取用户的密码，并与 username、realm 和 nonce 等信息一起计算哈希值。
2. 服务器比较客户端传递的响应值与计算出的响应值。如果两者匹配，则认证成功，客户端可以访问资源。
服务器返回响应： 如果验证通过，服务器会继续处理请求并返回响应。如果验证失败，服务器会返回 401 Unauthorized 响应，并要求客户端重新进行身份验证。

哈希计算示例

假设有以下请求：

Username = “Mufasa”
Password = “Circle of Life”
URI = “/protected/resource”
Method = “GET”
Nonce = “dcd98b7102dd2f0e8b11d0f600bfb0c093”

生成 A1：

plaintextCopy CodeA1 = MD5(username:realm:password) = MD5("Mufasa:example:Circle of Life")
A1 = 62ab0e717b56e5062f6a4a91a12a039b

生成 A2：

plaintextCopy CodeA2 = MD5(method:uri) = MD5("GET:/protected/resource")
A2 = 2cb3d24a444249b038f9ee82fa55de1f

生成响应（response）：

plaintextCopy CodeResponse = MD5(A1:nonce:nonceCount:cnonce:qop:A2) = MD5(62ab0e717b56e5062f6a4a91a12a039b:dcd98b7102dd2f0e8b11d0f600bfb0c093::auth:2cb3d24a444249b038f9ee82fa55de1f)
Response = 6629fae49393a05397450978507c4ef1