Qual é a diferença entre autenticação Digest e autenticação básica?

Qual é a diferença entre autenticação Digest e autenticação básica ?

A Autenticação Digest comunica credenciais de forma criptografada aplicando uma função de hash para: o nome de usuário, a senha, um valor fornecido pelo servidor, o método HTTP e o URI solicitado.

Enquanto a autenticação básica usa codificação base64 não criptografada .

Portanto, a autenticação básica geralmente só deve ser usada onde a segurança da camada de transporte é fornecida, como https.

Veja RFC-2617 para todos os detalhes sangrentos.

Autenticação de acesso básico HTTP

• PASSO 1 : o cliente solicita informações, enviando um nome de usuário e senha para o servidor em texto sem formatação
• PASSO 2 : o servidor responde com as informações desejadas ou com um erro

A autenticação básica usa a codificação base64 (não criptografia) para gerar nossa cadeia criptográfica que contém as informações de nome de usuário e senha. O HTTP Basic não precisa ser implementado sobre SSL, mas se você não o fizer, não será seguro. Então, eu nem vou aceitar a ideia de usá-lo sem.

Prós:

• É simples de implementar, para que os desenvolvedores do cliente tenham menos trabalho a fazer e levem menos tempo para entregar, portanto, é mais provável que os desenvolvedores desejem usar sua API
• Ao contrário do Digest, você pode armazenar as senhas no servidor do método de criptografia que desejar, como o bcrypt, tornando as senhas mais seguras
• É necessária apenas uma chamada para o servidor para obter as informações, tornando o cliente um pouco mais rápido que os métodos de autenticação mais complexos.

Contras:

• O SSL é mais lento que o HTTP básico, portanto, isso faz com que os clientes fiquem um pouco mais lentos
• Se você não tem controle dos clientes e não pode forçar o servidor a usar SSL, um desenvolvedor pode não usar SSL, causando um risco à segurança

Em resumo - se você tem controle dos clientes ou pode garantir que eles usem SSL, o HTTP Basic é uma boa opção. A lentidão do SSL pode ser cancelada pela velocidade de fazer apenas uma solicitação

Sintaxe da autenticação básica

Value = username:password
Encoded Value =  base64(Value)
Authorization Value = Basic <Encoded Value> 
//at last Authorization key/value map added to http header as follows
Authorization: <Authorization Value>

Autenticação HTTP Digest Access A Autenticação
Digest Access usa as metodologias de hash (isto é, digerir significa cortado em pedaços pequenos) para gerar o resultado criptográfico. A autenticação de acesso HTTP Digest é uma forma mais complexa de autenticação que funciona da seguinte maneira:

• PASSO 1 : um cliente envia uma solicitação para um servidor
• PASSO 2 : o servidor responde com um código especial (chamado denonceou seja, n úmero usado apenas uma vez ), uma outra sequência que representa o domínio (hash) e pede ao cliente para autenticar
• PASSO 3 : o cliente responde com este nonce e uma versão criptografada do nome de usuário, senha e região (um hash)
• ETAPA 4 : o servidor responde com as informações solicitadas se o hash do cliente corresponder ao seu próprio hash do nome de usuário, senha e região, ou um erro se não houver

Prós:

• Nenhum nome de usuário ou senha é enviado ao servidor em texto sem formatação, tornando uma conexão não SSL mais segura que uma solicitação HTTP Basic que não é enviada por SSL. Isso significa que o SSL não é necessário, o que torna cada chamada um pouco mais rápida

Contras:

• Para cada chamada necessária, o cliente deve fazer 2, tornando o processo um pouco mais lento que o HTTP Basic
• O HTTP Digest é vulnerável a um ataque de segurança intermediário, o que basicamente significa que ele pode ser invadido
• O HTTP Digest impede o uso da criptografia de senha forte, o que significa que as senhas armazenadas no servidor podem ser invadidas

Em suma , o HTTP Digest é inerentemente vulnerável a pelo menos dois ataques, enquanto um servidor que usa criptografia forte para senhas com HTTP Basic sobre SSL tem menos probabilidade de compartilhar essas vulnerabilidades.

Se você não tiver controle sobre seus clientes, eles poderão tentar executar a autenticação básica sem SSL, o que é muito menos seguro que o Digest.

Sintaxe de autenticação de acesso de resumo RFC 2069

Hash1=MD5(username:realm:password)
Hash2=MD5(method:digestURI)
response=MD5(Hash1:nonce:Hash2)

Sintaxe de autenticação de acesso de resumo RFC 2617

Hash1=MD5(username:realm:password)
Hash2=MD5(method:digestURI)
response=MD5(Hash1:nonce:nonceCount:cnonce:qop:Hash2)
//some additional parameters added 

fonte e exemplo

No Postman, é o seguinte:

Nota:

• Os esquemas Básico e Digest são dedicados à autenticação usando um nome de usuário e um segredo.
• O esquema Portador é dedicado à autenticação usando um token.

Vamos ver a diferença entre as duas autenticação HTTP usando Wireshark(Ferramenta para analisar pacotes enviados ou recebidos).

1. Autenticação Básica HTTP

Assim que o cliente digitar o nome de usuário correto : password , conforme solicitado pelo servidor da Web, o servidor da Web verifica no banco de dados se as credenciais estão corretas e fornece acesso ao recurso.

Aqui está como os pacotes são enviados e recebidos:

No primeiro pacote, o Cliente preenche as credenciais usando o método POST no recurso - lab/webapp/basicauth.Em retorno, o servidor responde com o código de resposta http 200 ok , ou seja, o nome de usuário: senha estava correto.

Agora, no Authorizationcabeçalho, mostra que é a Autorização Básica, seguida por uma sequência aleatória. Essa sequência é a versão codificada (Base64) das credenciais admin:aadd(incluindo dois pontos).

2) Autenticação Digest HTTP (rfc 2069)

Até agora, vimos que a autenticação básica envia nome de usuário: senha em texto sem formatação pela rede. Mas o Digest Auth envia um HASH da senha usando o algoritmo Hash.

Aqui estão os pacotes mostrando as solicitações feitas pelo cliente e a resposta do servidor.

Assim que o cliente digita as credenciais solicitadas pelo servidor, a Senha é convertida em um responseusando um algoritmo e, em seguida, é enviada ao servidor. Se o banco de dados do servidor tiver a mesma resposta que o cliente, o servidor concederá o acesso ao recurso. , caso contrário, um erro 401 .

No exemplo acima Authorization, a responsecadeia é calculada utilizando os valores de Username, Realm, Password, http-method, URIe Noncecomo mostrado na imagem:

(dois pontos estão incluídos)

Portanto, podemos ver que a Autenticação Digest é mais segura, pois envolve Hashing (criptografia MD5). Portanto, as ferramentas de detecção de pacotes não conseguem detectar a Senha, embora em Autenticação Básica a Senha exata seja mostrada no Wireshark.

A autenticação básica usa a codificação base 64 para gerar uma seqüência criptográfica que contém as informações de nome de usuário e senha.

A Autenticação de Acesso Digest usa as metodologias de hash para gerar o resultado criptográfico