Basic access authentication: differenze tra le versioni

Versione delle 16:05, 24 mar 2015

Versione attuale delle 14:48, 1 gen 2025

(10 versioni intermedie di 8 utenti non mostrate)

Riga 1:

Nel contesto di una transazione [[Hypertext Transfer Protocol|HTTP]], '''basic access authentication''' è un metodo per fornire credenziali di accesso tra [[client]] e [[server]].

== Caratteristiche ==

Riga 5:

Basic authentication utilizza headers HTTP statici e standard che non richiedono handshake eseguito preventivamente.

La Basic authentication è spesso utilizzata dove è necessario avere url verso aree riservate in cui si possa accedere sistematicamente, specialmente negli shell script o nei [[file batch]].

I dati di autenticazione possono essere passati nell'[[url]] come ad esempio:

== Sicurezza ==

https://username:[e-mail]/path

La Basic authentication è spesso utilizzata dove è necessario avere url verso aree riservate in cui si possa accedere sistematicamente, specialmente negli shell script o nei file batch.

==Sicurezza==

L'autenticazione BA non prevede protezione per le credenziali trasmesse. Esse vengono banalmente codificate con [[base64]] ma non criptate o crittografate con hash. È solitamente utilizzata in [[HTTPS]].

Dato che l'header BA deve essere inviato in ogni richiesta HTTP, il browser deve inserire nella cache le credenziali per un periodo di tempo congruo per evitare di dover richiedere ogni volta all'utente la username e la password. La policy del caching varia da un browser all'altro. Ad esempio, [[Microsoft Internet Explorer]] ha un tempo di cache di 15 minuti.<ref>{{Cita web | url=httphttps://technet.microsoft.com/en-us/library/cc784037(v=WS.10).aspx | titolo=Basic Authentication | editore=Microsoft | anno=2005 | accesso=15 marzo 2013}}</ref>

Anche se HTTP non fornisce un metodo al web server per indicare al browser di eseguire il logout, ci sono una serie di possibilità utilizzando specifiche caratteristiche nei differenti browser. Una di queste è reindirizzare l'utente verso un URL sullo stesso dominio contenente credenziali volutamente errate:

<pre>https://forget:[e-mail]/path</pre>

Sfortunatamente, questo comportamento non è utilizzabile nei diversi browser né nelle differenti versioni.<ref>{{Cita web | url=httphttps://stackoverflow.com/questions/31326/is-there-a-browser-equivalent-to-ies-clearauthenticationcache | titolo=Is there a browser equivalent to IE's ClearAuthenticationCache? | editore=StackOverflow | accesso=15 marzo 2013}}</ref> [[Microsoft Internet Explorer]] offre un metodo [[JavaScript]] dedicato alla pulizia delle credenziali memorizzate nella cache:<ref>{{Cita web | url=httphttps://msdn.microsoft.com/en-us/library/hh801226(v=vs.85).aspx | titolo=IDM_CLEARAUTHENTICATIONCACHE command identifier | editore=Microsoft | accesso=15 marzo 2013}}</ref>

<pre><script>document.execCommand('ClearAuthenticationCache', 'false');</script></pre>

== Protocollo ==

=== Lato Serverserver ===

=== Lato Server ===

Quando il server vuole richiedere un'autenticazione, può inviare una richiesta.

Questa richiesta può essere espressa utilizzando il codice HTTP 401 come risposta<ref>[httphttps://tools.ietf.org/html/rfc1945#section-11 RFC 1945 - Hypertext Transfer Protocol - HTTP/1.0<!-- Titolo generato automaticamente -->]</ref> contenente un header HTTP chiamato WWW-Authenticate.<ref>[httphttps://tools.ietf.org/html/rfc1945#section-10.16 RFC 1945 - Hypertext Transfer Protocol - HTTP/1.0<!-- Titolo generato automaticamente -->]</ref>

L'header WWW-AuthenthicateAuthenticate per l'autenticazione basic è costruito in questo modo:<ref>[httphttps://tools.ietf.org/html/rfc1945#section-11.1 RFC 1945 - Hypertext Transfer Protocol - HTTP/1.0<!-- Titolo generato automaticamente -->]</ref>

<pre>WWW-Authenticate: Basic realm="''inserire realm''"</pre>

=== Lato Clientclient ===

Quando il client vuole inviare le proprie credenziali d'accesso può utilizzare l'header HTTP ''Authorization''.<ref name=autogenerato1>[httphttps://tools.ietf.org/html/rfc1945#section-10.2 RFC 1945 - Hypertext Transfer Protocol - HTTP/1.0<!-- Titolo generato automaticamente -->]</ref>

L'header ''Authorization'' è costruito in questo modo:<ref name=autogenerato1 />

Line 43 ⟶ 38:

# Il metodo di autorizzazione (basic) e uno spazio sono inseriti all'inizio della stringa codificata.

Ad esempio, se il client utilizza 'Aladdin' come username e 'open sesamsesame' come password, l'header è formato nel seguente modo:

<pre>Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtBlQWxhZGRpbjpvcGVuIHNlc2FtZQ==</pre>

== Note ==

<references/>

== Voci correlate ==

Line 51 ⟶ 49:

* [[Hypertext Transfer Protocol]]

{{Portale|sicurezza informatica}}

==Note==

<references/>

{{Portale|informatica}}

[[Categoria:Sicurezza informaticadi rete]]