Перегляд вихідного коду сторінки Дайджест автентифікація

'''Дайджест автентифікація''' (Digest access authentication) – один із загальноприйнятих методів [[Автентифікація_(веб)|автентифікації]] на [[вебсервер|вебсервері]]. Він застосовує [[Хеш-функція|хеш-функцію]], щоб захешувати пароль перед відправленням через мережу і це більш безпечний метод ніж базовий, який відправляє пароль у відкритому вигляді.
Переважно дайджест автентифікація як хеш-функцію використовує [[MD5]] з [[Криптографічний нонс|використанням одноразових значень (нонс)]].

=== Огляд ===
Дайджест автентифікація вперше з’явилася в RFC 2069 стандарті (розширення для HTTP: дайджест автентифікація). RFC 2069 описує класичну модель дайджест автентифікації, де захист забезпечується згенерованим сервером нонсом. Відповідь на запит формується(де HA1, HA2, A1, A2):

:<math>\mathrm{HA1} = \mathrm{MD5}\Big(\mathrm{A1}\Big) = \mathrm{MD5}\Big( \mathrm{username} : \mathrm{realm} : \mathrm{password} \Big)</math>
:<math>\mathrm{HA2} = \mathrm{MD5}\Big(\mathrm{A2}\Big) = \mathrm{MD5}\Big( \mathrm{method} : \mathrm{digestURI} \Big)</math>
:<math>\mathrm{response} = \mathrm{MD5}\Big( \mathrm{HA1} : \mathrm{nonce} : \mathrm{HA2} \Big) </math>

Згодом замість RFC 2069 з’явився RFC 2617 (HTTP автентифікація: базова та дайджест автентифікація). RFC 2617 описано ряд нових заходів для захисту дайджест автентифікації; «якість захисту»(QOP), значення нонс збільшується клієнтом, і на стороні клієнта генерується випадкове нонс. Ці заходи захистять ваш процес автентифікації від ряду вразливостей, наприклад, від атаки на основі адаптивно-підібраного відкритого тексту.

:<math>\mathrm{HA1} = \mathrm{MD5}\Big(\mathrm{A1}\Big) = \mathrm{MD5}\Big( \mathrm{username} : \mathrm{realm} : \mathrm{password} \Big)</math>

Якщо значення директиви QOP рівне «auth» або невизначене, тоді HA2:

:<math>\mathrm{HA2} = \mathrm{MD5}\Big(\mathrm{A2}\Big) = \mathrm{MD5}\Big( \mathrm{method} : \mathrm{digestURI} \Big)</math>

Якщо значення директиви QOP рівне «auth-int», тоді HA2:

:<math>\mathrm{HA2} = \mathrm{MD5}\Big(\mathrm{A2}\Big) = \mathrm{MD5}\Big( \mathrm{method} : \mathrm{digestURI} : \mathrm {MD5}(entityBody)\Big)</math>

Якщо значення директиви QOP рівне «auth-int» чи «auth», тоді response:

:<math>\mathrm{response} = \mathrm{MD5}\Big( \mathrm{HA1} : \mathrm{nonce} : \mathrm{nonceCount} : \mathrm{clientNonce} : \mathrm{qop} : \mathrm{HA2} \Big)</math>

Якщо значення директиви QOP невизначене, тоді response:

:<math>\mathrm{response} = \mathrm{MD5}\Big( \mathrm{HA1} : \mathrm{nonce} : \mathrm{HA2} \Big) </math>

Як ви вже, мабуть, помітили, що якщо значення QOP не визначене то автентифікації нагадує ту яка описана в RFC 2069.
== Див. також ==
* [[Автентифікація (веб)]]

[[Категорія:Інформаційна безпека]]
[[Категорія:Автентифікація]]
[[Категорія:Контроль доступу]]
[[Категорія:HTTP]]
[[Категорія:Криптографічні протоколи]]