ch 13. 다이제스트 인증 Q & A - Githubissues

jeuxdeau / http-the-definitive-guide

HTTP: The Definitive Guide by David Gourley, Brian Totty (O'Reilly)

https://jeuxdeau.gitbook.io/http-the-definitive-guide/

8 stars 1 forks source link

ch 13. 다이제스트 인증 Q & A #38

Closed digression99 closed 4 years ago

jeuxdeau commented 4 years ago

Q. 다이제스트 인증의 안좋은 점

영문 위키백과 번역

Disadvantages

https://en.wikipedia.org/wiki/Digest_access_authentication#Disadvantages

웹사이트는 엔드유저에게 보이는 유저 인터페이스를 컨트롤할 수 없다. (?)
RFC 2617의 보안 옵션들 중 많은 것들이 선택적(optional)이다. 서버가 QOP를 구체화하지 않았을 경우 클라이언트는 보안 수준이 낮은 레거시 모드로 작동할 것이다. (RFC 2069)
중간자 공격에 취약하다. 예를 들어 공격자는 클라이언트가 기본 인증이나 RFC2069 레거시 모드를 사용하게 할 수 있다. 더욱이 다이제스트 인증에서 클라이언트는 서버를 판별(identify)할 수 있는 방법이 없다.
몇몇 서버에서는 패스워드를 가역적인 방법으로 암호화해서 저장한다. 그러나 요약(digest)된 값을 대신 저장할 수도 있다.
비밀번호를 저장할 때 bcrypt와 같은 강력한 해시 함수를 사용할 수 없다. (비밀번호나 요약된 유저네임, 영역, 비밀번호 등이 복구 가능해야 하기 때문이다.)

MD5 알고리즘은 FIPS에서 사용될 수 없으므로, HTTP 다이제스트 인증은 FIPS-certified 암호화 모듈에서 사용될 수 없다.

jeuxdeau commented 4 years ago

오프 질문

서버가 난스를 어떻게 저장하는가?
A1 A2는 왜 나누어 놓은 것인가?
난스 횟수란 무엇인가?
왜 프록시 팜(proxy farm)을 망가뜨리는 건지?