《HTTP权威指南》第十三章学习总结--摘要认证

	 **定个小目标，吃透这本书，每天最少一章 CSDN 见**

1. 摘要认证的改进
   摘要认证是一种HTTP认证协议，它试图修复基本认证协议的验证缺陷。
   它进行了如下改正：
   永远不会以明文方式在网络上发送密码
   可以防止恶意用户捕获并重放认证的握手过程。
   可以有选择的防止对报文内容的篡改
   防止其他几种创建的攻击方式。
   下面是摘要认证的密码保护
   
   常见的摘要函数MD5，会将任意长度字节序转换为一个128位的摘要，通常被写成32个十六进制的字符。这样的算法是不可逆的。
   摘要认证的可信就是对公共信息，报名信息和有限的随机值这个组合的单向摘要
2. 摘要算法
   
   预授权：在普通的认证方式中，事务结束之前，每条请求都要有一次请求/质询的循环，如果客户端实现知道下一次随机数是什么，就可以取消这个请求/质询循环，这样客户端就可以在服务器发出请求之前，生成正确的Authorization首部了。
3. 增强保护质量
   可以在3正摘要首部中提供qop字段：WWW-Authenticate,Authorization和Authentication-Info.
   通过qop字段，客户端和服务器可以对不同类型质量的保护进行协商。比如，即便会验证降低传输速度，有些事务可能也要检查报文主体的完整性。
   如果使用了完整性保护（qop=“auth-int”），H（实体的主体部分）就是对实体主体部分，而不是报文主体部分的散列。对于发送者，要应用任意传输编码方式之前计算；而对于接受者，则应在去掉除多有传输编码之后计算。注意：对于任何含有多部分内容类型来说，多部分的编辑和没部分中嵌入的首部都要包含在内。
4. 应该考虑的实际问题
   多重质询：服务器可以对某个资源发起多重质询。比如，如果服务器不了解客户端的能力，就可以及提供基本认证质询，有提供摘要认证质询。客户端面对多重质询时，必须以它所支持的最强质询机制来应答。
   差错处理：在照耀认证中如果某个指令或其值使用不当，或者缺少某个必要指令，就应该用响应400.
   保护空间：域值可以将服务器上的受保护资源划分为一组保护空间，每个空间。通过域可以将服务器上的受保护资源划分为一组保护空间，每个空间都有字节的认证机制和 / 或授权数据库。
   重写URL：代理可以通过改变URI语法，而不改变所描述的实际资源的方法来重写URI。
5. 安全性考虑
   首部篡改：为了提供一个简单明了的防首部篡改系统，要么就得进行端到端的加密，要么就得对首部进行数字签名–最好是两者的结合！照耀认证的重点在于提供一种篡改认证的机制，但并不一定要将这种保护扩展到数据上去。
   重放攻击:在当前的上下文中，重放攻击是指由人将从某个事务中窃取的认证证书用于另一个事务。尽管对GET请求来说这也是个问题，但是POST和PUT请求提供一种简单的方式来避免重放攻击才是非常重要的
   多重认证机制：服务器支持多重认证机制时，通常会在WWW-Authenticate首部提供选项。由于没有要求客户端选择功能最强的认证机制，所以得到的认证效果就和功能最弱的认证方案差不多。要避免出现这个问题，最之间的方法就是让客户端总是去选择可用认证方案种功能最强的按个。如果无法实现，惟一的选择就是使用一个只维护最强认证方案的代理服务器。
   词典攻击：词典攻击是经典的密码猜测攻击。恶意用户对某个事务进行监听，并对随机数 / 响应对使用标准密码猜测程序。
   恶意代理攻击和中间人攻击：现在很多英特尔网流量都会在这个或那个地方流经某个代理。随着重定向技术和拦截代理的出现，用户甚至都以实不到它请求穿过了某个代理。如果这些代理种由一个是恶意的或者容易入侵的，就会使客户端置于中间人攻击之下。防止这些攻击的惟一简便方式就是使用SSL。
   选择明文攻击：使用摘要认证的客户端会使用服务器提供的随机数来生成响应。但如果中间有一个被入侵的或者恶意的代理在拦截流量，就可以很容易的为客户端的响应计算提供随机数。是已知密钥来技术按响应可以简化响应的密码反向过程。这种方式被称为选择名为攻击。
   存储密码：摘要认证机制将对比用户响应于服务器内部存储的内容–通常就是用户名和H（A1）元组对，其中H（A1）是用户名，域和密码的摘要中导出的。