Digest認證

一、什麼是Digest認證

Digest認證是一種基於MD5哈希算法的HTTP身份驗證方法。它利用MD5算法對用戶名、密碼和隨機數進行加密，避免了明文傳輸，使得用戶的安全性得到了保障。

與另一種HTTP認證方法Basic不同，Digest認證的請求頭中包含了哈希值，而不是明文密碼。這種方法需要服務器和客戶端之間進行多次通信，效率較低，但是更加安全可靠。

二、應用場景

Digest認證通常用於HTTP服務器，通過加密用戶傳輸的數據，防止用戶在數據傳遞過程中被黑客攻擊而泄露密碼，保障用戶的安全。

在實際應用中，Digest認證被廣泛應用於各種網絡應用程序中，例如FTP、SMTP、XMPP等。

三、認證步驟

1. 客戶端發送HTTP請求。

2. 服務器返回401 Unauthorized信息，要求客戶端進行身份認證。

//客戶端請求頭：
GET /index.html HTTP/1.1 
Host: www.example.com 

//服務器返回頭：
HTTP/1.1 401 Unauthorized 
WWW-Authenticate: Digest realm="testrealm@host.com", 
                        qop="auth,auth-int", 
                        nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093", 
                        opaque="5ccc069c403ebaf9f0171e9517f40e41" 

3. 客戶端接收到401 Unauthorized信息後，向服務器發送攜帶MD5哈希值的身份認證請求。

//客戶端發送頭：
GET /index.html HTTP/1.1
Host: www.example.com 
Authorization: Digest username="Mufasa", realm="testrealm@host.com", 
                        nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093", 
                        uri="/index.html", qop=auth, nc=00000001, 
                        cnonce="0a4f113b", response="6629fae49393a05397450978507c4ef1", 
                        opaque="5ccc069c403ebaf9f0171e9517f40e41"

4. 服務器接收到含有MD5哈希值的請求後，進行MD5哈希值的計算，並與原來傳送的哈希值進行比對，以驗證客戶端的身份。

四、示例代碼

下面是一個使用Python實現Digest認證的示例代碼：

import hashlib
import requests

url = "https://example.com/index.html"
username = "user"
password = "password"
realm = "testrealm@host.com"
nonce = "dcd98b7102dd2f0e8b11d0f600bfb0c093"
qop = "auth"
cnonce = "0a4f113b"

#計算MD5哈希值
HA1_str = f"{username}:{realm}:{password}"
HA1 = hashlib.md5(HA1_str.encode()).hexdigest()

HA2_str = f"GET:{url}"
HA2 = hashlib.md5(HA2_str.encode()).hexdigest()

response_str = f"{HA1}:{nonce}:00000001:{cnonce}:{qop}:{HA2}"
response = hashlib.md5(response_str.encode()).hexdigest()

#發送Digest認證請求
headers = {'Authorization': f'Digest username="{username}", realm="{realm}", '
                             f'nonce="{nonce}", uri="{url}", qop={qop}, '
                             f'nc="00000001", cnonce="{cnonce}", '
                             f'response="{response}"'}
response = requests.get(url, headers=headers)

print(response.status_code)