determinando los métodos de autenticación HTTP http

Question

¿Cómo se determina si un servicio web REST está utilizando Basic, Kerberos, NTLM o uno de los muchos otros métodos de autenticación?

Answer 1

Cuando se envía una solicitud no autenticado el servicio tiene que responder con un "HTTP/1.1 401 no autorizado" y la respuesta contiene una cabecera WWW-Authenticate que especifica lo que se espera esquema de autenticación (Basic, Digest), el reino de seguridad y cualquier otro valor específico (como el nonce de Digets). Entonces, si el servidor responde con:

HTTP/1.0 401 Unauthorized 
WWW-Authenticate: Digest realm="example.com", 
         qop="auth,auth-int", 
         nonce="...", 
         opaque="..." 

quiere una autenticación implícita. Si la respuesta se ve así:

HTTP/1.0 401 Unauthorized 
WWW-Authenticate: Basic realm="example.com" 

, entonces quiere una autenticación básica. Algunos servidores/sitios (pobremente implementados) no manejan el Basic correctamente y responden directamente con 403 Forbidden en lugar de desafiar primero.

NTLM es similar en cuanto a que el servidor responde con un encabezado 401 y un encabezado WWW-Authenticate con el valor NTLM, pero no hay ninguna especificación pública oficial, ya que es propiedad de Microsoft. Hay varias descripciones de reverseengineered.

Desafortunadamente REST no viene con una descripción de servicio de estilo WSDL para descubrir el esquema de autenticación utilizado a priori.

Answer 2

Si se trata de un escenario de caja negra, normalmente me conecto con Fiddler e inspecciono el tráfico real.

Answer 3

Envíelo una solicitud, presumiblemente obtenga un código HTTP 401, y mire el encabezado WWW-Authenticate que (por RFC 2616) incluye la respuesta MUST. Si en cambio obtienes un 403 o algún otro estado extraño, o un encabezado WWW-Authenticate faltante, maldices a los autores del sitio web que no siguen el núcleo del RFC HTTP y comienzas a olfatear el tráfico para intentar realizar una ingeniería inversa del desorden no estándar que han cometido este vez ;-).