首页 > 代码库 > HTTP Basic Auth：BA 认证

HTTP Basic Auth：BA 认证

2024-10-01 12:01:02   218人阅读

1. 背景

梳理 BA 认证的过程，以及每一步的意义和解决的问题：

  1. 加密算法

  2. 明文输入

  3. 数字签名

  4. 潜在风险：是否可能被攻破

note：

HTTP BA（基本认证）原始 BA 认证：

  • HTTP 头部：Authorization

  • Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

  • 其「数字签名」默认 Base64 编码，能够被解密出来

HTTP BA 定制：

  • HTTP 头部：Authorization

  • Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

  • 其「数字签名」定制的「签名算法」，「私钥」

    • 计算数字签名过程中，加入「请求参数」和「时间」

    • 防止篡改和重放攻击（时间窗口）

2. HTTP BA 认证

HTTP BA 基本数字签名：

针对用户名和密码，进行 Base64 编码：

  1. 每 3 个8Bit的字节，转换为4 个 6 Bit的字节；

  2. 6 Bit再添 2 位高位 0；

  3. 组成四个8Bit的字节；

  4. 3*8 = 4*6 = 24

  5. 3 个字节，变为 4 个字节，字符串长度增长 1/3

  6. Base64 的元字符：数字、字母、+、/

Base64 编码：是最简单的数字签名，能够避免人眼识别，但机器都可以解码出原文。

2.1. HTTP 请求中，未携带 BA 认证信息

客户端请求（没有认证信息）：

GET /private/index.html HTTP/1.0
Host: localhost

服务端应答：401 未授权

HTTP/1.0 401 Authorization Required
Server: HTTPd/1.0
Date: Sat, 27 Nov 2004 10:18:15 GMT
WWW-Authenticate: Basic realm="Secure Area"
Content-Type: text/html
Content-Length: 311
 
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"
 "<a href="http://www.w3.org/TR/1999/REC-html401-19991224/loose.dtd" "="" style="text-decoration-line: none; border-radius: 0px; background: 0px center; border: 0px; bottom: auto; float: none; height: auto; left: auto; line-height: 20px; margin: 0px; outline: 0px; overflow: visible; padding: 0px; position: static; right: auto; top: auto; vertical-align: baseline; width: auto; box-sizing: content-box; min-height: inherit; color: rgb(0, 51, 102) !important;">http://www.w3.org/TR/1999/REC-html401-19991224/loose.dtd">
<HTML>
  <HEAD>
    <TITLE>Error</TITLE>
    <META HTTP-EQUIV="Content-Type" CONTENT="text/html; charset=ISO-8859-1">
  </HEAD>
  <BODY><H1>401 Unauthorized.</H1></BODY>
</HTML>

2.2. HTTP 请求中，携带 BA 认证信息

客户端的请求（用户名“"Aladdin”，口令, password “open sesame”）：

GET /private/index.html HTTP/1.0
Host: localhost
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

 

服务端的应答：

 

HTTP/1.0 200 OK
Server: HTTPd/1.0
Date: Sat, 27 Nov 2004 10:19:07 GMT
Content-Type: text/html
Content-Length: 10476

 

2.3. 工具测试 Base64 编码

可以使用 shell 来测试 base64 编码：

 

# 编码
$ echo -n "Aladdin:open sesame" | base64
QWxhZGRpbjpvcGVuIHNlc2FtZQ==
  
# 解码
$ echo -n "QWxhZGRpbjpvcGVuIHNlc2FtZQ==" | base64 -D
Aladdin:open sesame

3. HTTP BA 定制数字签名

HTTP BA 定制数字签名的作用：

  • 安全通信：防止参数篡改（无法防止窃听）

HTTP BA 认证，需要提前沟通的内容：

  1. client_id：字符串，一般推荐 16个字符，代表调用方

  2. secret：跟 client_id 绑定，每个 client_id 对应一个 secret

  3. 数字签名算法：使用 secret，对 HTTP 请求行内容，计算数字签名

    1. 使用 Secret

    2. HTTP 请求头：请求方法、uri、date、param（param 利用 TreeMap 按照字典序排序）

    3. signature = base64 ( HMAC-SHA1 ( ( string_to_sign, appkey ) ) );

    4. string_to_sign

HTTP BA 签名的基本过程：

  1. 计算数字签名，Client 端：根据 client_id，使用对应 secret，对 string_to_sign 进行数字签名运算

    1. string_to_sign：uri、date、param

  2. 传输数字签名，HTTP 头部携带数字签名

    1. Authorization：头部

    2. Authorization: MWS shanghai:frJIUN8DYpKDtOLCwozzyllqDzg=

    3. MWS：M web service

    4. shanghai：client id

    5. frJIUN8DYpKDtOLCwozzyllqDzg=：具体的数字签名

  3. 验证数字签名，Server 端：根据 client_id 找出对应的 secret，并根据「签名算法」，计算签名，进行校验。

BA 认证：使用「私钥」计算数字签名，通过数字签名，验证消息的完整性和可信性。

  1. 私钥：双方线下沟通「身份标识」和「私钥」

  2. 签名算法：线下沟通「签名算法」和「签名原始字符串」

  3. 双方：都使用「私钥」、「签名算法」、「签名原始字符串」，验证数字签名的正确性

3.1. 具体算法

HMAC-SHA2

HMAC：Hash-based Message Authentication Code，使用 secret 对 message 进行hash 运算，具体 Hash 算法，MD5、SHA-1、SHA-2

  • MD5：输出 hash 值 128 bit

    • MD5的全称是Message-Digest Algorithm 5（信息-摘要算法）。128位长度。目前MD5是一种不可逆算法。

    • 具有很高的安全性。它对应任何字符串都可以加密成一段唯一的固定长度的代码。

  • SHA-1：输出 hash 值 160 bit

    • SHA1的全称是Secure Hash Algorithm(安全哈希算法) 。

    • SHA1基于MD5，加密后的数据长度更长，

    • 因此，比MD5更加安全，但SHA1的运算速度就比MD5要慢了。

    • 它对长度小于264的输入，产生长度为160bit的散列值。比MD5多32位。

    • 2017年荷兰密码学研究小组CWI和Google正式宣布攻破了SHA-1

  • SHA-2：输出 hash 值 256 bit 等，具体实现不同，bit 位数也不同

    • 包含SHA-256 、SHA-512等

    • 暂未被攻破

Base64

  • 3 个 8 bit，变为 4 个 6 bit；

  • 高位 bit，填充 0；

  • 安全性：低，可以解码

 

4. 参考资料

  • http://baike.baidu.com/item/base64

  • https://zh.wikipedia.org/wiki/SHA%E5%AE%B6%E6%97%8F

  • Open-详细设计-数字签名策略


HTTP Basic Auth：BA 认证


联系
我们