Der Umgang mit der Authentifizierung in einer RESTful Client-Server-Architektur ist umstritten.
Im Allgemeinen kann dies in der SOA über HTTP-Welt erreicht werden über:
- HTTP-Basisauthentifizierung über HTTPS;
- Cookies und Sitzungsmanagement;
- Token in HTTP-Headern (z. B. OAuth 2.0 + JWT);
- Abfrageauthentifizierung mit zusätzlichen Signaturparametern.
Sie müssen diese Techniken anpassen oder noch besser mischen, um sie bestenfalls an Ihre Softwarearchitektur anzupassen.
Jedes Authentifizierungsschema verfügt über eigene PROs und CONs, abhängig vom Zweck Ihrer Sicherheitsrichtlinie und Softwarearchitektur.
HTTP-Basisauthentifizierung über HTTPS
Diese erste Lösung, die auf dem Standard-HTTPS-Protokoll basiert, wird von den meisten Webdiensten verwendet.
GET /spec.html HTTP/1.1
Host: www.example.org
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==
Es ist einfach zu implementieren, standardmäßig in allen Browsern verfügbar, hat jedoch einige bekannte Nachteile, wie das im Browser angezeigte schreckliche Authentifizierungsfenster, das bestehen bleibt (hier gibt es keine LogOut-ähnliche Funktion), einen serverseitigen zusätzlichen CPU-Verbrauch. und die Tatsache, dass der Benutzername und das Kennwort (über HTTPS) an den Server übertragen werden (es sollte sicherer sein, das Kennwort während der Tastatureingabe nur auf der Clientseite zu belassen und als sicherer Hash auf dem Server zu speichern). .
Möglicherweise verwenden wir die Digest-Authentifizierung , sie erfordert jedoch auch HTTPS, da sie für MiM- oder Replay- Angriffe anfällig und für HTTP spezifisch ist.
Sitzung über Cookies
Um ehrlich zu sein, ist eine auf dem Server verwaltete Sitzung nicht wirklich zustandslos.
Eine Möglichkeit könnte darin bestehen, alle Daten innerhalb des Cookie-Inhalts zu verwalten. Und das Cookie wird standardmäßig auf der Serverseite behandelt (der Client versucht sogar nicht, diese Cookie-Daten zu interpretieren: Er gibt sie bei jeder aufeinanderfolgenden Anforderung einfach an den Server zurück). Bei diesen Cookie-Daten handelt es sich jedoch um Anwendungsstatusdaten. Daher sollte der Client sie und nicht den Server in einer reinen Staatenlosen Welt verwalten.
GET /spec.html HTTP/1.1
Host: www.example.org
Cookie: theme=light; sessionToken=abc123
Die Cookie-Technik selbst ist HTTP-verknüpft, daher ist sie nicht wirklich RESTful, was meiner Meinung nach protokollunabhängig sein sollte. Es ist anfällig für MiM- oder Replay- Angriffe.
Erteilt über Token (OAuth2)
Eine Alternative besteht darin, ein Token in die HTTP-Header einzufügen, damit die Anforderung authentifiziert wird. Dies ist zum Beispiel das, was OAuth 2.0 tut. Siehe RFC 6749 :
GET /resource/1 HTTP/1.1
Host: example.com
Authorization: Bearer mF_9.B5f-4.1JqM
Kurz gesagt, dies ist einem Cookie sehr ähnlich und weist dieselben Probleme auf: Es ist nicht zustandslos, basiert auf HTTP-Übertragungsdetails und unterliegt vielen Sicherheitslücken - einschließlich MiM und Replay - und darf daher nur über HTTPS verwendet werden. In der Regel wird ein JWT als Token verwendet.
Authentifizierung abfragen
Die Abfrageauthentifizierung besteht darin, jede RESTful-Anforderung über einige zusätzliche Parameter im URI zu signieren. Siehe diesen Referenzartikel .
Es wurde in diesem Artikel als solches definiert:
Alle REST-Abfragen müssen authentifiziert werden, indem die Abfrageparameter in alphabetischer Reihenfolge in Kleinbuchstaben signiert werden, wobei der private Berechtigungsnachweis als Signatur-Token verwendet wird. Die Signierung sollte vor der URL erfolgen, die die Abfragezeichenfolge codiert.
Diese Technik ist möglicherweise besser mit einer zustandslosen Architektur kompatibel und kann auch mit einer leichten Sitzungsverwaltung implementiert werden (Verwendung von In-Memory-Sitzungen anstelle von DB-Persistenz).
Hier ist zum Beispiel ein generisches URI-Beispiel über den obigen Link:
GET /object?apiKey=Qwerty2010
sollte als solche übertragen werden:
GET /object?timestamp=1261496500&apiKey=Qwerty2010&signature=abcdef0123456789
Die zu /object?apikey=Qwerty2010×tamp=1261496500signierende Zeichenfolge ist und die Signatur ist der SHA256-Hash dieser Zeichenfolge unter Verwendung der privaten Komponente des API-Schlüssels.
Serverseitiges Daten-Caching kann immer verfügbar sein. In unserem Framework werden die Antworten beispielsweise auf SQL-Ebene und nicht auf URI-Ebene zwischengespeichert. Das Hinzufügen dieses zusätzlichen Parameters unterbricht also nicht den Cache-Mechanismus.
In diesem Artikel finden Sie einige Details zur RESTful-Authentifizierung in unserem Client-Server-ORM / SOA / MVC-Framework, das auf JSON und REST basiert. Da wir die Kommunikation nicht nur über HTTP / 1.1, sondern auch über Named Pipes oder GDI-Nachrichten (lokal) zulassen, haben wir versucht, ein wirklich RESTful-Authentifizierungsmuster zu implementieren und uns nicht auf HTTP-Spezifität (wie Header oder Cookies) zu verlassen.
Späterer Hinweis : Das Hinzufügen einer Signatur zum URI kann als schlechte Vorgehensweise angesehen werden (da sie beispielsweise in den http-Serverprotokollen angezeigt wird), sodass sie verringert werden muss, z. B. durch eine geeignete TTL, um Wiederholungen zu vermeiden. Wenn Ihre http-Protokolle jedoch gefährdet sind, treten mit Sicherheit größere Sicherheitsprobleme auf.
In der Praxis kann die bevorstehende MAC-Token-Authentifizierung für OAuth 2.0 eine enorme Verbesserung gegenüber dem aktuellen Schema "Granted by Token" darstellen. Dies ist jedoch noch in Arbeit und an die HTTP-Übertragung gebunden.
Fazit
Es ist zu schließen, dass REST nicht nur HTTP-basiert ist, auch wenn es in der Praxis meistens auch über HTTP implementiert wird. REST kann andere Kommunikationsschichten verwenden. Eine RESTful-Authentifizierung ist also nicht nur ein Synonym für die HTTP-Authentifizierung, unabhängig davon, was Google antwortet. Es sollte den HTTP-Mechanismus überhaupt nicht verwenden, sondern von der Kommunikationsschicht abstrahiert werden. Und wenn Sie HTTP-Kommunikation verwenden, gibt es dank der Let's Encrypt-Initiative keinen Grund, kein ordnungsgemäßes HTTPS zu verwenden, das zusätzlich zu einem Authentifizierungsschema erforderlich ist.