HTTP/Authentifizierung: Unterschied zwischen den Versionen

Versionsgeschichte interaktiv durchsuchen

VisuellWikitext

Aktuelle Version vom 2. November 2024, 16:15 Uhr

Authentifizierung über HTTP

Beschreibung

Stellt der Webserver fest, dass für eine angeforderte Datei Benutzername oder Passwort nötig sind

meldet er das dem Browser mit dem Statuscode 401 Unauthorized und dem Header WWW-Authenticate.

Dieser prüft, ob die Angaben vorliegen, oder präsentiert dem Anwender einen Dialog, in dem Name und Passwort einzutragen sind, und überträgt diese an den Server.
Stimmen die Daten, wird die entsprechende Seite an den Browser gesendet.

RFC 2617 unterscheidet
Basic Authentication
Digest Access Authentication

Basic Authentication

Die Basic Authentication ist die häufigste Art der HTTP-Authentifizierung

Der Webserver fordert eine Authentifizierung an, der Browser sucht daraufhin nach Benutzername/Passwort für diese Datei und fragt gegebenenfalls den Benutzer.
Anschließend sendet er die Authentifizierung mit dem Authorization-Header in der Form Benutzername:Passwort Base64-codiert an den Server.
Base64 bietet keinen kryptographischen Schutz, daher kann dieses Verfahren nur beim Einsatz von HTTPS als sicher angesehen werden.

Digest Access Authentication

Bei der Digest Access Authentication sendet der Server zusätzlich mit dem WWW-Authenticate-Header eine eigens erzeugte zufällige Zeichenfolge (Nonce).

Der Browser berechnet den Hashcode der gesamten Daten (Benutzername, Passwort, erhaltener Zeichenfolge, HTTP-Methode und angeforderter URI) und sendet sie im Authorization-Header zusammen mit dem Benutzernamen und der zufälligen Zeichenfolge zurück an den Server, der diese mit der selbst berechneten Prüfsumme vergleicht.
Ein Abhören der Kommunikation nützt hier einem Angreifer nichts, da sich aufgrund der verwendeten kryptologischen Hashfunktion aus dem Hashcode die Daten nicht rekonstruieren lassen und für jede Anforderung anders lauten.
Authentication is any process by which you verify that someone is who they claim they are. Authorization is any process by which someone is allowed to be where they want to go, or to have information that they want to have. For general access control, see the Access Control How-To.
- Related Modules and Directives
- Introduction
- The Prerequisites
- Getting it working
- Letting more than one person in
- Possible problems
- Alternate password storage
- Using multiple providers
- Beyond just authorization
- Authentication Caching
- More information

Anhang

Siehe auch

HTTP/Authentifizierung

Links

Weblinks

@@ Zeile 1: / Zeile 1: @@
+'''Authentifizierung über HTTP'''
+== Beschreibung ==
+; Stellt der Webserver fest, dass für eine angeforderte Datei Benutzername oder Passwort nötig sind
+[[Datei:Http auth iw 10.png|mini|HTTP-Authentifizierung]]
+: meldet er das dem Browser mit dem Statuscode ''401 Unauthorized'' und dem Header ''WWW-Authenticate''.
+* Dieser prüft, ob die Angaben vorliegen, oder präsentiert dem Anwender einen Dialog, in dem Name und Passwort einzutragen sind, und überträgt diese an den Server.
+* Stimmen die Daten, wird die entsprechende Seite an den Browser gesendet.
+{| class="wikitable big options"
+|+ [[RFC 2617]] unterscheidet
+|-
+| [[#Basic Authentication|Basic Authentication]] ||
+|-
+| [[#Digest Access Authentication|Digest Access Authentication]] ||
+|}
+=== Basic Authentication ===
+Die Basic Authentication ist die häufigste Art der HTTP-Authentifizierung
+* Der Webserver fordert eine Authentifizierung an, der Browser sucht daraufhin nach Benutzername/Passwort für diese Datei und fragt gegebenenfalls den Benutzer.
+* Anschließend sendet er die Authentifizierung mit dem Authorization-Header in der Form ''Benutzername:Passwort'' [[Base64]]-codiert an den Server.
+* Base64 bietet keinen kryptographischen Schutz, daher kann dieses Verfahren nur beim Einsatz von [[Hypertext Transfer Protocol Secure|HTTPS]] als sicher angesehen werden.
+=== Digest Access Authentication ===
+Bei der Digest Access Authentication sendet der Server zusätzlich mit dem WWW-Authenticate-Header eine eigens erzeugte zufällige Zeichenfolge ([[Nonce]]).
+* Der Browser berechnet den [[Hashcode]] der gesamten Daten (Benutzername, Passwort, erhaltener Zeichenfolge, HTTP-Methode und angeforderter [[Uniform Resource Identifier|URI]]) und sendet sie im Authorization-Header zusammen mit dem Benutzernamen und der zufälligen Zeichenfolge zurück an den Server, der diese mit der selbst berechneten Prüfsumme vergleicht.
+* Ein Abhören der Kommunikation nützt hier einem Angreifer nichts, da sich aufgrund der verwendeten [[Kryptologische Hashfunktion|kryptologischen Hashfunktion]] aus dem Hashcode die Daten nicht rekonstruieren lassen und für jede Anforderung anders lauten.
+*Authentication is any process by which you verify that    someone is who they claim they are. Authorization is any    process by which someone is allowed to be where they want to    go, or to have information that they want to have.  For general access control, see the Access    Control How-To.
+** Related Modules and Directives
+** Introduction
+** The Prerequisites
+** Getting it working
+** Letting more than one person in
+** Possible problems
+** Alternate password storage
+** Using multiple providers
+** Beyond just authorization
+** Authentication Caching
+** More information
+<noinclude>
+== Anhang ==
+=== Siehe auch ===
+{{Special:PrefixIndex/{{BASEPAGENAME}}}}
+==== Links ====
+===== Weblinks =====
 [[Kategorie:HTTP]]
+[[Kategorie:Apache/HTTP/Sicherheit]]
+</noinclude>
+[[Kategorie:HTTP]]
+[[Kategorie:Apache/HTTP/Sicherheit]]
+</noinclude>