HTTP使用的BASIC认证原理

1,BASIC认证概述

在HTTP协议进行通信的过程中,HTTP协议定义了基本认证过程以允许HTTP服务器对WEB浏览器进行身份认证的方法,当一个客户端向HTTP服务器进行数据请求时,如果客户端未被认证,则HTTP服务器将通过基本认证过程对客户端的用户名及密码进行验证,以决定用户是否合法.客户端在接收到HTTP服务器的身份验证要求后,会提示用户输入用户名密码,然后将用户的用户名密码以BASE64加密,加密后的密文将附加于请求信息中,如用用户名为admin,密码为:password时,客户端将用户名和密码用”:”合并,并将合并后的字符串用BASE64加密为密文,并于每次请求数据时,将密文附加于请求头(Request Header)中.HTTP服务器在每次收到请求包后,根据协议取得客户端附加的用户信息(BASE64加密的用户名和密码),解开请求包,对用户名及密码进行验证,如果用户名及密码正确,则根据客户端请求,返回客户端所需要的数据;否则,返回错误代码或重新要求客户端提供用户名及密码.

二,BASIC认证的过程
1,客户端向服务器请求数据,请求的内容可能是一个网页或者是一个其他的MIME类型,此时,客户端尚未被验证,则客户端需提供如下请求至服务器:
Get /index.html HTTP/1.0
Host:www.google.com

2,服务器向客户端发送验证请求代码401,服务器返回的数据大抵如下:
HTTP/1.0 401 Unauthorised
Server: SokEvo/1.0
WWW-Authenticate: Basic realm=”google.com”
Content-Type: text/html
Content-Length: xxx

3,当符合http1.0或1.1规范的客户端(如IE,FIREFOX)收到401返回值时,将自动弹出一个登录窗口,要求用户输入用户名和密码.

4,用户输入用户名和密码后,将用户名及密码以BASE64加密方式加密,并将密文放入前一条请求信息中,则客户端发送的第一条请求信息则变成如下内容:
Get /index.html HTTP/1.0
Host:www.google.com
Authorization: Basic xxxxxxxxxxxxxxxxxxxx
注:xxxxxxx表示加密后的用户名和密码

5,服务器收到上述请求信号后,将Authorization字段后的用户信息取出,解密,将解密后的用户名及密码与用户数据库进行比较验证,如用户名及密码正确,服务器则根据请求,将所请求资源发送给客户端;

三,BASIC认证的缺点
HTTP基本认证的目标是提供简单的用户认证功能,其认证过程简单明了,适合于对安全要求不高的系统或设备中,如大家所用的路由器的配置页面的认证页面,几乎都采取了这种方式.其缺点是没有灵活可靠的认证策略,如无法提供域(domain或realm)认证功能,另外,BASE64的加密强度非常低,可以说仅能防止搜索引擎将其搜到.当然HTTP基本认证系统也可以与SSL或者Kerberos结合,实现安全性较高(相对)的认证系统