HTTP digest authentication support

PHP selv understøtter ikke Digest men det gør Apache. Du kan overlade authentication'en til Apache og bruge $PHP_AUTH_USER variablen.

Forskellen mellem Digest og Basic er at brugernavn, password, en "nonce"-værdi og URI'en ved Digest overføres som en checksum, typisk MD5.

Det er jo også Apache der understøtter basic (og ikke PHP selv).

Så omformulerer jeg spørgsmålet. Hvordan laver en jeg en HTTP digest authentication fra PHP?

Det var måske forkert formuleret. HTTP authentication er jo en del af HTTP standarden. Men Apache sørger bare for at PHP får brugernavn og password. Sådan har jeg ihvertfald forstået det. Please correct me if wrong.

Hvordan hænger dette sammen med digest vs. basic?

Og hvordan laver implementerer man digest authentication fra PHP?

Implementeringen af en Digest autencitering i PHP er den samme som for Basic. Blot skal du bruge htdigest i stedet for htpasswd til at lave password-filen.

I øvrigt er det rigtigt forstået at det er Apache der sørger for at PHP får brugernavn og password. Det gælder både for Digest og Basic.

Er det svar du finder på nettet, eller er det her noget, du har styr på?

Hehe, det er noget jeg har styr på.

Hvis der ikke er nogen forskel i implemeneteringen (og i de headers man sender til browseren) i PHP, hvordan ved klienten så at den skal sende brugernavn og password krypteret?

Ved basic sendes brugernavn og password jo som plain text.

Ja ok, du skal naturligvis bruge "Digest" i stedet for "Basic" i WWW-Authenticate headeren. Men måden du implementerer det på en den samme, bortset fra formatet password-filen.

Stik mig et link, hvor jeg kan læse noget om det.

Umiddelbart, ændrer jeg:
header('WWW-Authenticate: Basic realm="Administrator login til opret ny bruger"');

Til:
header('WWW-Authenticate: Digest realm="Administrator login til opret ny bruger"');

Så får jeg en 404 lignende fejl i browseren.

Har du oprettet password-filen korrekt?

Jeg har intet oprettet. Men det er jo også ligemeget. Jeg sender bare den header og får en 404 agtig fejl.

Men noget andet jeg ikke fatter er, hvis password og brugernavn sendes som md5 hash gør vel ikke sikkerheden meget bedre (fremfor plain text)?

Hvis man kan sniffe netværkstrafik og få adgang til det krypterede brugernavn og password, så har man jo adgang til systemet alligevel. Eftersom man så bare sender dette til serveren istedet.

Måske skulle jeg læse lidt på lektien. Har du nogle gode links?

Nej, det er ikke helt ligegyldigt. Får du faktisk en 404-fejl eller er det f.eks. 401?

Nej, du kan ikke bare sniffe en checksum og sende den som svar til serveren. Når du (klienten) sender en forespørgel til en Digest-beskyttet side sender serveren dig en vilkårlig "nonce"-værdi. Den korrekte checksum generes udfra denne værdi. Da chancen for at den nonce du får er den samme som den den sniffede checksum er genereret udfra er uhyrlig lille vil det ikke kunne lade sig gøre i praksis at skaffe sig adgang med en sniffet checksum.

Hvis du vil være grundig kan du læse RFC 2069 der specificerer Digest: http://ftp.ics.uci.edu/pub/ietf/http/rfc2069.txt

Kan du i øvrigt ikke lige poste det script du bruger?

Faktisk er den her vist den gældende: http://ftp.ics.uci.edu/pub/ietf/http/rfc2617.txt