Sự cố xác thực với WWW-Xác thực: Thương lượng

Question

Tôi đang cố truy cập một trang web được bảo vệ bằng mật khẩu. Nó không được sử dụng xác thực cơ bản (mặc dù cùng một người dùng/pass hộp bật lên trong firefox) như tiêu đề phản ứng là WWW-Authenticate: Negotiate.

Tôi muốn tự động hóa quy trình đăng nhập bằng cách gửi tiêu đề chính xác.

Trong cơ bản bạn sẽ sử dụng một cái gì đó như:

Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ== 

Tôi sẽ sử dụng gì để đàm phán?

Answer 1

Máy chủ web nhắc bạn về mã thông báo SPNEGO (Cơ chế thương lượng GSSAPI đơn giản và được bảo vệ).

Đây là một phát minh của Microsoft cho việc đàm phán một loại xác thực để sử dụng cho Web SSO (single-sign-on):

• hoặc NTLM
• hoặc Kerberos.

Xem:

• Microsoft MSDN Library: HTTP-Based Cross-Platform Authentication by Using the Negotiate Protocol
• RFC 4178: The Simple and Protected Generic Security Service Application Program Interface (GSS-API) Negotiation Mechanism

Answer 2

Đưa thông tin này ở đây vì lợi ích độc giả tương lai.

• 401 (Unauthorized) response header -> Yêu cầu xác thực tiêu đề

• Dưới đây là một vài WWW-Authenticate response headers. (Danh sách đầy đủ là tại IANA: HTTP Authentication Schemes.)

  • WWW-Authenticate: Basic -> Authorization: Basic + thẻ - Sử dụng để xác thực cơ bản
  • WWW-Authenticate: NTLM -> Authorization: NTLM + token (2 thử thách)
  • WWW-Authenticate: Negotiate - > Ủy quyền: Thương lượng + mã thông báo - được sử dụng để xác thực Kerberos
    • Nhân tiện: IANA có angry remark about Negotiate: Lược đồ xác thực này vi phạm cả ngữ nghĩa HTTP (là kết nối định hướng) và cú pháp (sử dụng cú pháp không tương thích với cú pháp trường tiêu đề WWW-Authenticate và Authorization).

Bạn có thể thiết lập các tiêu đề Authorization: Basic chỉ khi bạn cũng có WWW-Authenticate: Basic tiêu đề trên 401 thách thức của bạn.

Nhưng kể từ khi bạn có WWW-Authenticate: Negotiate, đây là trường hợp xác thực dựa trên Kerberos.