RFC 2617中文版（HTTP Digest Authentication）

1. 备忘........................................................................................................................................................3

2. 版权申明................................................................................................................................................3

3. 摘要........................................................................................................................................................3

4. 授权鉴别................................................................................................................................................4

4.1. 对 HTTP/1.1 规范的依赖...............................................................................................................4

4.2. 访问鉴别框架................................................................................................................................4

5. 基本鉴别方案........................................................................................................................................6

6. 摘要访问鉴别方案................................................................................................................................8

6.2.1. WWW-Authenticate

响应报头

6.2.2. Authorization

6.2.3. Authentication-info

6.3. 摘要操作......................................................................................................................................17

6.4. 安全协议讨论..............................................................................................................................17

6.5. 例子..............................................................................................................................................18

6.6. 代理鉴别和代理授权..................................................................................................................18

7. 安全考虑..............................................................................................................................................20

7.1. 客户使用基本鉴别......................................................................................................................20

7.2. 客户使用摘要鉴别......................................................................................................................21

7.9. 选择纯文本攻击..........................................................................................................................24

7.10. 预先计算的字典攻击................................................................................................................24

7.11. 批处理方式暴力攻击.................................................................................................................24

7.12. 假冒服务器欺骗........................................................................................................................24

7.13. 存储口令....................................................................................................................................25

7.14. 总结............................................................................................................................................25

8. 例子实现..............................................................................................................................................26

9. 参考书目..............................................................................................................................................30

10. 作者地址............................................................................................................................................30

11. 完整版权申明....................................................................................................................................30

3. 摘要

“HTTP/1.0”中包括基本访问鉴别方案（Basic Access Authentication scheme）。该方案

不是安全的用户授权方法（除非与其它安全方法联合使用，如 SSL[5]），因为其用户名和

口令在网络上是以明文方式传送的。

本文档还提供了 HTTP 鉴别框架的规范，有关原始的基本鉴别方案和基于哈希加密的

方案的内容，请参见摘要访问鉴别（Digest Acccess Authentication）。从 RFC2069 公布以

来，其中涉及的一些可选元素因为出现问题而被移出；而还有一些新的元素因为兼容性的

原因而被加入，这些新元素虽然是可选的，但还是强烈建议使用的，因而，RFC2069[6]最

终可能会被本规范所替代。

与基本方式类似的是，摘要鉴别授权对通讯双方都知道的秘密（如口令）进行校验；

4.2.访问鉴别框架

HTTP 提供了简单的挑战－回应鉴别机制，它可能被服务器用来质询客户端请求，也

可能被客户端用来提供鉴别信息。授权方案用可扩展的、大小写敏感的符号来标识，后跟

获取证明所需要的以逗号分隔的‘属性－值’对。

401（未授权）回应消息被原始服务器端用来质询用户代理的授权。该回应必须包括

含有至少一个被请求资源 challenge 的 WWW－鉴别报头域。407（需要鉴别代理）回应

消息被代理用来质询客户端的授权，它的 Proxy-Authenticate 报头域必须包括至少一个

proxy 对被请求资源的 challenge。

Realm 项（大小写敏感）在所有涉及 challenge 的鉴别方案中都要用到。Realm 值

（大小写敏感）要与被访问服务器的‘根’URL 的规范用法（即绝对路径为空的服务器的绝

对 URI－absoluteURI，见 5.1.2 节[2]）联合使用，以定义受保护的区间。这些 realm

参数允许将服务器上受保护资源分成若干个区间，每个区间都有其自己的鉴别方案和

（或）授权数据库。Realm 值是字符串，通常由原始服务器分配，针对某些鉴别方案可能

还有附加的语法问题。注意，可能存在多个 challenge，auth-scheme 相同，而 realm

不同的情况。

通常，agent 在收到 401（未授权）回应时，可能（也可能不会）希望服务器对其授

权。如果希望授权，用户代理将在请求中加入授权请求报头（Authorization request-

服务器

受保护区间定义了将要自动使用证书的区域。如果早先的请求已经通过认证，在由授

权方案，参数和（或）用户选择等所指定的时间间隔内，其它的请求可通过相同的证书来

访问该保护区域。除非鉴别方案有特别指定，否则单个保护区域不能扩展到该服务器以外

的范围。

如果原始服务器不希望通过发送的请求来接受证书，它应当返回 401（未授权）回应。

该回应必须包括一个 WWW-鉴别报头域，而该域要包含至少一个（可能是新的）对被请求

资源的 challenge。如果 proxy 不接受用请求方式发送证书，它应当返回 407（需要代理

在不做任何改动的前提下将 WWW-鉴别和授权报头向前推送，这方面的规定见[2]的 14.8

节。代理-鉴别（WWW-Authenticate）和代理-授权（Proxy-Authorization）报头域都

是 hop-by-hop 报头（见[2]的 13.5.1 节）。