determinazione dei metodi di autenticazione http web

Question

Come si determina se un servizio web REST utilizza Basic, Kerberos, NTLM o uno dei molti altri metodi di autenticazione?

Answer 1

Quando si invia una richiesta non autenticata del servizio deve rispondere con un "HTTP/1.1 401 non autorizzato" e la risposta contiene un'intestazione WWW-Authenticate che specifica quale schema di autenticazione è prevista (Basic, Digest), il regno di sicurezza e qualsiasi altro valore specifico (come il nonce di Digets). Quindi, se il server risponde con:

HTTP/1.0 401 Unauthorized 
WWW-Authenticate: Digest realm="example.com", 
         qop="auth,auth-int", 
         nonce="...", 
         opaque="..." 

desidera un'autenticazione del digest. Se la risposta è la seguente:

HTTP/1.0 401 Unauthorized 
WWW-Authenticate: Basic realm="example.com" 

quindi desidera un'autenticazione di base. Alcuni server/siti implementati (malamente) non gestiscono correttamente il Basic e rispondono direttamente con 403 Proibidden anziché prima impegnativo.

NTLM è simile in quanto il server risponde con un 401 e un'intestazione WWW-Authenticate con il valore NTLM, ma non esiste alcuna specifica pubblica ufficiale, poiché è di proprietà di Microsoft. Ci sono varie descrizioni reverseengineered.

Sfortunatamente REST non viene fornito con una descrizione del servizio WSDL in stile per scoprire lo schema di autenticazione utilizzato a priori.

Answer 2

Se si tratta di uno scenario scatola nera, di solito mi collego con Fiddler e ispeziono il traffico effettivo.

Answer 3

Inviate una richiesta, presumibilmente otterrete un codice HTTP 401 e guardate l'intestazione WWW-Authenticate che (per RFC 2616) include la risposta MUST. Se invece ottieni un 403 o qualche altro strano stato, o un'intestazione mancante WWW-Authenticate, maledici gli autori del sito web che non seguono il core RFC HTTP e inizi a sniffare il traffico per provare a decodificare quale disordine non standard hanno fatto questo tempo ;-).