자바 스크립트의 HTTP 다이제스트. 새로운 URI에 대한 md5 재 계산

Question

나는 클라이언트 측 자바 스크립트 구현을 다이제스트 인증으로 작성하고 문제가 발생했습니다. 로그인이 성공한 후, 인증 헤더 매개 변수를 중첩 요청을위한 쿠키에 넣습니다. 그러나 uri가 변경되면 md5 해시가 유효하지 않게됩니다. 승인을 다시 계산할 수는 있지만 이미 일반 텍스트 비밀번호가 없습니다. 나는 브라우저 구현이이 재 계산을한다고 가정한다. 내가 맞습니까? 그것이 사실이라면 무엇을 할 수 있습니까? 변수에 일반 텍스트 암호를 저장하는 것은 보안상의 이유로 좋지 않습니다.

Answer 1

절반 용액을 발견했다. response md5 해시는 ha1과 ha2의 두 해시 조합으로 계산됩니다. ha1은 username, realm 및 password에 따라 다릅니다. ha2는 method 및 uri에 따라 다릅니다. 그래서 브라우저의 로컬 저장소에 ha1을 저장하고 response에서 다시 사용할 수 있습니다. 이 방법은 원점 문제를 해결하지 못하나, 다른 사람의 realm에 대해 악의적 인 사람이 response을 다시 계산하는 것은 불가능합니다.