Khái niệm về xác thực thông minh - nó có thực sự hoạt động không?

Question

Theo tôi hiểu, xác thực thông báo (là một hoạt động một chiều) băm mật khẩu và truyền dữ liệu được băm vào máy chủ. Máy chủ sau đó sẽ sử dụng mật khẩu được lưu trữ, băm và so sánh với sự bình đẳng đối với mật khẩu băm đã nhận. Được cho là an toàn từ cuộc tấn công giữa người đàn ông.

Điều tôi không hiểu là nếu tôi là hacker trung gian, tôi không cần mật khẩu ban đầu. Chỉ cần sử dụng mật khẩu băm vì đó là mật khẩu mà máy chủ sẽ so sánh.

Vì vậy, việc sử dụng cơ chế xác thực thông báo này là gì? Dường như không hoạt động từ tổng quan chung này.

Answer 1

Xác thực thông báo không hoạt động theo cách bạn đã mô tả.

1. Máy chủ không lưu trữ mật khẩu chưa được lưu. Máy chủ lưu trữ một hash của Username: realm: password.
2. Khách hàng không gửi cùng một giá trị băm cho mọi xác thực.

Xác thực thông báo là giao thức phản hồi. Để bắt đầu quá trình, máy khách yêu cầu URL được bảo vệ và máy chủ phản hồi với lĩnh vực và nonce. Khách hàng sử dụng lĩnh vực và nonce để tính toán:

md5(md5(username:realm:password):nonce:md5(httpMethod:uri)) 

Nonce làm cho mỗi xác thực tạo ra giá trị băm khác nhau và làm như vậy ngăn chặn các cuộc tấn công phát lại. Hơn nữa, nó cung cấp một số (yếu) bảo vệ chống lại kẻ tấn công lắng nghe trong giao tiếp của bạn bởi vì mật khẩu thô không vượt qua dây, mặc dù điều này không ngăn chặn kẻ tấn công từ băm băm một khi họ có nó.