分類
CISSP

聲明(claim)

https://ithelp.ithome.com.tw/upload/images/20210813/201321609JL0jxK0GZ.jpg
-身份和存取管理
典型的身份驗證過程包括三個步驟:

  1. 主體向身份提供者 (IdP) 表明其身份。
  2. IdP 根據目錄驗證用戶名和密碼。
  3. 如果主題得到驗證,IdP 會發出一個令牌。

基於聲明(或基於斷言)的身份驗證意味著您的網站接受來自外部身份提供商 (IdP) 的令牌,而不是根據服務器上的目錄對用戶名和密碼進行身份驗證。聲明或斷言通常打包在由發行人 IdP 簽名的令牌中。您作為客戶的網站依賴於 IdP 發布的聲明。
基於明文的身份驗證很常見。用戶名和密碼可以以 HTML 形式或通過 HTTP 基本身份驗證方案提交。儘管密碼本身未加密,但它通常受 TLS/SSL 會話保護。
一些 JavaScript 庫可以將密碼加密為密文並將其發佈到後端服務器,即使我們在使用 TLS/SSL 時不必這樣做。
HTTP Digest 方案實現了質詢和響應。“有效的響應包含用戶名、密碼、給定的
nonce 值、HTTP 方法和請求的 URI的校驗和(默認為 MD5 校驗和)。” (RFC 2617)

參考
HTTP 身份驗證:基本和摘要式存取身份驗證

資料來源: Wentz Wu QOTD-20210717

作者: stevencho

從事資訊工作二十多年,對資安極具熱情,在 Network Security, Endpoint Security, 及 Mobile Security 等資安領域有超過十年以 上的經驗。曾任職精誠資訊資安產品代理部門技術經理,負責 資安產品之技術支援與大型企業導入專案。此外,他也取得了 ISO 27001 主導稽核員證書及 Check Point 的 CCSA 與 CCSE 等防 火牆產品的專業證照。