RFC2617 鉴权 中文

Network Working Group J. FranksRequest for Comments: 2617 Northwestern UniversityObsoletes: 2069 P. Hallam-BakerCategory: Standards Track Verisign, Inc.J. HostetlerAbiSource, Inc.S. LawrenceAgranat Systems, Inc.P. LeachMicrosoft CorporationA. LuotonenNetscape Communications CorporationL. StewartOpen Market, Inc.June 1999HTTP Authentication: Basic and Digest Access Authentication备忘（Status of this Memo）本文档跟踪记录Internet团体为完善协议而进行的讨论、建议。

详情请参见官方文件（STD1）。

本文可任意分发。

版权声明（Copyright Notice）Copyright (C) The Internet Society (1999). All Rights Reserved. 摘要（Abstract）“HTTP/1.0”中包括基本访问鉴别方案（Basic Access Authentication scheme）。

该方案不是安全的用户授权方法（除非与其它安全方法联合使用，如SSL[5]），因为其用户名和口令在网络上是以明文方式传送的。

本文档还提供了HTTP鉴别框架的规范，有关原始的基本鉴别方案和基于哈希加密的方案的内容，请参见分类访问鉴别（Digest Acccess Authentication）。

从RFC2069公布以来，其中涉及的一些可选元素因为出现问题而被移出；而还有一些新的元素因为兼容性的原因而被加入，这些新元素虽然是可选的，但还是强烈建议使用的，因而，RFC2069[6]最终可能会被本规范所替代。

Franks, et al. Standards Track [Page 1]与基本方式类似的是，分类鉴别授权对通讯双方都知道的秘密（如口令）进行校验；而与基本方式不同的是，该校验方式中的口令不以明文方式传输，而这正是基本方式的最大弱点。

正象其它大多数授权协议那样，该协议最大的风险不在于其协议本身，而是它周边的应用程序。

目录（Table of Contents）1 访问鉴别（Access Authentication）..................... ..................... ......... .. (3)1.1 对HTTP/1.1规范的依赖（Reliance on the HTTP/1.1 Specification） (3)1.2 访问鉴别框架（Access Authentication Framework）................. (3)2 基本鉴别方案（Basic Authentication Scheme）........................ ............... (5)3 分类访问鉴别方案（Digest Access Authentication Scheme）............. (6)3.1 介绍（Introduction）................................. ................... .. ..................... (6)3.1.1 目的（Purpose）...................................... ..................... .. (6)3.1.2 操作概述（OverallOperation）........................ ..................... ... . (6)3.1.3 分类值表示（Representation of digestvalues）............ . (7)3.1.4 局限性（Limitations）................................... ..................... .. (7)3.2 分类标题规范（Specification of Digest Headers）................. .. (7)3.2.1 WWW-鉴别回应标题（The WWW-Authenticate Response Header）..83.2.2 授权请求标题（The Authorization RequestHeader）....... . (11)3.2.3 鉴别信息标题（The Authentication-InfoHeader）....... .. (15)3.3 分类操作（Digest Operation）........................... ..................... ........ . (17)3.4 安全协议商议（Security ProtocolNegotiation）.. (18)3.5 例子（Example）...................................... ................... .. ..................... . (18)3.6 代理鉴别和代理授权（Proxy-Authentication andProxy-Authorization） (19)4 安全考虑（Security Considerations）............................ ..................... .. . (19)4.1 使用基本鉴别方式的客户端鉴别（Authentication of Clients using BasicAuthentication）.............................. ..................... ..................... (19)4.2 使用分类鉴别方式的客户端鉴别（Authentication of Clients using DigestAuthentication）.............................. ..................... ..................... (20)4.3 使用有限制的nonce值（Limited Use Nonce Values）..................... .. (21)4.4用基本鉴别方式来进行分类比较（Comparisonof Digest with BasicAuthentication）.. ..................... ..................... ...... .. (22)4.5 攻击回放（Replay Attacks）.............................. ..................... ....... .. (22)4.5由多方鉴别方案产生的弱点（WeaknessCreated by Multiple Authentication Schemes）.................................. (23)4.7 在线字典攻击（Online dictionary attacks）...................... ..................... . (23)4.8 中间人（Man in the Middle）.............................. ..................... ........ . (24)4.9 选择纯文本攻击（Chosen plaintext attacks）............... ..................... (24)4.10 用预先计算的字典攻击（Precomputed dictionary attacks）............... . (25)4.11 批方式暴力攻击（Batch brute force attacks）...................... ........ .. (25)4.12 假冒服务器欺骗（Spoofing by Counterfeit Servers）............... . (25)4.13 存储口令（Storing passwords）........................ ..................... ........... . (26)4.14 摘要（Summary）................................ ..................... ... .................. . (26)5 例子实现（Sample implementation）....................... ..................... ....... . (27)6 感谢（Acknowledgments）.............................. ................... .. ..................... .. . (31)Franks, et al. Standards Track [Page 2]7 参考书目（References）....................................... ............... ...... .............. . (31)8 作者地址（Authors' Addresses）............................ ..................... ....... (32)9 完整版权状况（Full Copyright Statement）........................ ..................... ........... . (34)1 授权鉴别（Access Authentication）1.1对HTTP/1.1规范的依赖（Reliance on the HTTP/1.1 Specification）本规范和HTTP/1.1规范[2]一起使用，它使用HTTP/1.1文档2.1节的补充反馈方式（Augmented BNF），并依赖于该文档对非终端（non-terminals）的定义及对其它方面的描述。