首页 > 代码库 > asp.net权限认证:摘要认证(digest authentication)

asp.net权限认证:摘要认证(digest authentication)

 

asp.net权限认证系列

asp.net权限认证:Forms认证

asp.net权限认证:HTTP基本认证(http basic)

asp.net权限认证:Windows认证

asp.net权限认证:摘要认证(digest authentication)

 

一、摘要认证由来

摘要认证是对基本认证的改进,即是用摘要代替账户密码,从而防止明文传输中账户密码的泄露

之前对摘要认证也不是很熟悉,还得感谢圆中的 parry 贡献的博文:ASP.NET Web API(三):安全验证之使用摘要认证(digest authentication)

我是觉得真心不错,让我少走很多弯路。这篇文章主要是对上边引用文章的讲解,老司机可以略过。

老规矩,上摘认证的工作流程图

技术分享

 

看图大概可以知道摘要认证的步骤

1、客户端请求资源 api/employees,项目中即是点击details按钮

技术分享 

2、数据提交后,服务端检查Headers中的Authorization信息,null值就返回401,提示需要认证,认证格式为Digest,同时返回的还有realm、nonce、qop这几个参数值

2.1、realm的值可以随意;nonce为随机数,一般是GUID格式的字符串,需要后台返回;qop的之分布有三种:没有定义(即空值)、auth、auth-int

2.2、后台处理过程:

技术分享

2.3、返回的报文头信息是这样:

HTTP /1.1 401 Unauthorized
WWW-Authenticate:Digest
realm= ”RealmOfBadri”
qop=“auth”
nonce=”75d1c31e6d3b28f100edac595a53cf96”

 

3、客户端接受到反馈后,知道资源需要授权才能访问;于是开始输入username、password

 技术分享

 这里有个地方需要注意,项目默认是账户名密码一致才能验证通过的,看代码

技术分享

 

点击登录,查看后台得到的数据

技术分享

 看图可以知道

 realm、qop、nonce是服务器上次生成的值

 username是我们输入的页面

 uri是客户端要请求的地址

 nc、cnonce是客户端自动生成的值

 response是最终要传送的摘要信息,也是客户端生成的

 

 是不是发现了什么不对?密码去哪了?

 其实这就是摘要认证的精髓了,不传送明文密码,只传送摘要信息

 

 有同学可能要问,不传输密码,那服务端如何知道输入的用户名称就是属于当前操作用户呢

 那接下来就得摘要信息出场了,我们来看看如何生成摘要信息

 对(username:realm:password)进行HASH运算,得到HA1

 对(方法名:请求的路径)进行HASH运算,即(GET:http://localhost:32934/api/employees),得到HA2

 最终得到摘要信息response = 对(HA1:nonce:nc:cnonce:qop:HA2)进行HASH运算

 

4、分析完前端,我们看看服务端如何解析这些参数的

其实服务端的工作就是根据客户端端传送过来的realm、qop、nonce、username、uri、nc、cnonce进行HASH运行得到新的摘要信息response2

如何用response2与客户端生成的response进行比较,如果一致,就说明认证通过;不一致,就继续返回401

 

主要就是这一段代码处理

技术分享

 

因为对于服务端来说HA1:nonce:nc:cnonce:qop:HA2中除了HA1中的password没有从客户端得到,其他所有所有参数都得到了

所以摘要认证的核心就是:

对于客户端:我知道用户名称和密码和(一些认证的约束,即realm、qop、nonce之类),从而得到加密信息response

对于服务端:我知道用户名称和(一些认证的约束,即realm、qop、nonce之类),然后根据用户名称去数据库找到用户的密码,从而得到加密信息response2

最后比较response:response2,如果客户端输入的密码和数据库根据用户名称查到的密码一致,就肯定能认证通过。

 技术分享

 

最后需要提醒大家的地方,这个用户密码可以跟账号登录密码不一致,可以分成2个字段;你可以理解为:用户名+认证密码

因为认证密码即使是加密的也必须可逆,不然后台匹配不了

 

好了,收工!

 

asp.net权限认证:摘要认证(digest authentication)