id:
Гость
вход
регистрация
текущее время 16:41 13/05/2008
главная
проект
новости
форум
faq
библиотека
черновики
разработки
сервисы
софт
поиск
Владелец:
Alex_B
(создано 22/02/2007 17:53), редакция от 30/03/2007 13:16 (автор:
SATtva
)
Печать
Категории:
криптография
,
хэширование
,
протоколы
,
аутентификация
,
разное
,
сообщество
http://www.pgpru.com
/
Разработки
/HttpАвторизация
>>>
Последние изменения
Последние комментарии
Удаленные документы
Требуется доработка
Досье пользователей
Опросы
Keyserver
Документация Wiki
Правила сайта
Регистрация
==Протокол защищенной HTTP-авторизации== Предлагаю реализацию протокола, идею которого предложил SATtva. Ознакомиться с оригинальной идеей можно здесь ((http://www.vladmiller.info/blog/index.php?comment=61 "Защита HTTP-авторизации без SSL?")). Возможно, я частично продублирую изложенный в указанной статье материал. И все же это необходимо сделать для лучшего описания реализации протокола. Так же есть реализация для ((http://joomlaportal.ru/ "CMS Joomla!")), доступна по адресу http://joomlaforum.ru/index.php/topic,11428.0.html ===Условные обозначения=== **A** - пользователь. **B** - сервер. **u** - идентификатор (имя) пользователя. **p** - пароль пользователя. **p_h** - хеш пароля. **p6** - хеш пароля хранимый в base.php. **ip1** - ip-адрес определенный сервером на 1 этапе протокола. **ip4** - ip-адрес определенный сервером на 4 этапе протокола. **k** - секретный показатель, известный только B. **t1** - метка времени начала исполнения протокола. **H()** - операция хеширования. ===Описание сценариев и файлов=== **initialization.php** - страница инициализации протокола. **form.html** – форма для ввода имени имени и пароля. **webtoolkit.md5.js** - java-скрипт клиентской стороны. **login.php** - сценарий обработки формы для ввода имени и пароля. **validate.php** - сценарий проверки имени и пароля по базе данных (base.php). **base.php** - файл с зарегистрированными пользователями и их паролями (пароли в хешированном виде). **config.php** - конфигурационный файл. =====initialization.php===== В момент открытия этой страницы пользователем A происходит инициализация протокола. Еще до загрузки формы для ввода имени и пароля (**form.html**) этот сценарий проделывает следующие операции: 1. открывает гостевую сессию со следующими параметрами: - ip-адрес пользователя; - временная метка начала протокола; 2.#2 генерирует **r=H(k, t1, ip1)**; !!(blue)Далее, когда все необходимые операции проведены, на клиентскую сторону передается java-скрипт **webtoolkit.md5.js** и форма **form.html**. Форма, помимо полей для ввода и кнопки, содержит скрытое поле **r_type**, в которое записывается сгенерированное сервером **r**.!! 3.#3 передача на сторону клиента **form.html** и **webtoolkit.md5.js**; Теперь **A** видит форму и может ввести **u** и **p**. =====webtoolkit.md5.js===== Загруженный клиенту webtoolkit.md5.js перехватывает событие нажатия кнопки. 1. При нажатии кнопки берет значения полей **p_type** (пароль) и **r_type**. 2. Вычисляет **p_h=H(u)**. !!(blue)Операция **H(u)** производится т.к. в базе паролей на сервере (**base.php**) хранятся не сами пароли, а их хешированные значения. Возможно это бесполезный "наворот", т.к. в этом случаи получается, что роль паролей играют их хешированные значения. Т.е. пользователь мог бы вводить как пароль значение хеша (идентичного хранимому в **base.php**) и тогда операцию **H(u)** можно было бы не производить. Однако в этом случае все пароли должны были бы быть длинной 128 бит (если используется md5). (Дайджест любого сообщения прошедшего md5 имеет длину 128 бит.)!! 3.#3 Вычисляет **h=H(r, p_h, p)**. Записывает **h** в **r_type**. 4.Очищает поле в которое введен пароль **p_type**. 5.Отправляет форму (возвращает событие). !!(blue)Теперь начинается следующий этап протокола (в статье ((http://www.vladmiller.info/blog/index.php?comment=61 "Защита HTTP-авторизации без SSL?")) 4 этап).!! =====login.php===== 1. сценарий проверяет, стартовала ли гостевая сессия, если да то исполнение сценария продолжается; 2. берет из переменных сессии **t1'**; 3. определяет интервал между текущим временем и временем начала использования протокола. Если интервал не превышен, исполнение протокола продолжается; 4. В отправленной форме сценарий получает u. Сценарий **login.php** передает идентификатор пользователя (**u**)сценарию проверки имени и пароля по базе данных **validate.php**. > Сценарий (функция из сценария) **validate.php** проверяет, существует ли пользователь в базе. > Если существует, то находит соответствующий ему хэш пароля (**p6**). > Возвращает или 0 (в случаи, когда пользователь не найден) или хеш. 5.#5 Если **validate.php** возвращает не 0, то определяет **ip4**. 6. Вычисляет **h'=H(H(k, t1, ip4), u4, p6)**. 7. Сравнивает значения **h** и **h'** 8. Если значения совпали присваивает **A** идентификатор авторизованной сессии **sid'**. ===initialization.php=== %%(php) <?php /* протокол авторизации MAS */ session_start(); /*Праметры неавторизованной гостевой сессии*/ $_SESSION['nominee']='guest'; //индентификатор неаторизованной гостевой сессии (sid) $_SESSION['ip']=getenv ("REMOTE_ADDR"); //определение и запись ip-адреса пользователя (ip1) $_SESSION['timestamp']=time(); //временная метка начала протокола (t1) require "config.php"; //подключение конфигурациоонного файла /*вычисление хеша*/ $r = md5($k.$_SESSION['timestamp'].$_SESSION['ip']); /*Вывод формы и передача скрипта*/ require "form.html"; echo $r; echo " | "; echo md5('user1_password'); echo " | "; echo $REMOTE_ADDR; ?> %% ===form.html=== %% <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <title>Форма для ввода имени и пароля</title> <meta http-equiv="Выберите расширение для паковки" content="text/html; charset=windows-1251" /> <script type='text/javascript' src='webtoolkit.md5.js'></script> </head> <body> <form action="login.php" method="post" name="login_form" onsubmit="return SendForm();"> <label>name: <br> <input type="text" name="name" value="NADE"/> </label> <br> <label>password: <br> <input type="text" name="p_type" /> </label> <input name="r_type" type="hidden" value="<?php echo $r; ?>" /> <br> <input type="submit" name="Submit" value="login" /> </form> </body> </html> %% ===login.php=== %%(php) <?php /* протокол авторизации MAS */ /*Проверка старотвала ли гостевая сессия*/ if (! isset( $_REQUEST[session_name()] )) { echo "сессия не стартовала"; exit; } session_start(); //стартуем сессию require "config.php"; //подключаем конфигурационный файл /*Проверка получен ли ответ в допустимом временном интервале*/ if ( (time() - $_SESSION['timestamp']) > $access_interval) { echo "превышен временной интервал ответа"; exit; } /*Извлечение хеша пароля из БД*/ require "validate.php"; //подключаем файл с функцией для извленчения хеша пароля if (validate($name) == "NULL") { echo "пользователь с таким именем не зарегистрирован"; exit; } if ( md5( md5($k.$_SESSION['timestamp'].$_SESSION['ip']).$name.validate($name)) == $r_type) { echo "Вы авторизированы"; exit; } echo "Пароль не тот"; ?> %% ===webtoolkit.md5.js=== %% var MD5 = function (string) { function RotateLeft(lValue, iShiftBits) { return (lValue<<iShiftBits) | (lValue>>>(32-iShiftBits)); } function AddUnsigned(lX,lY) { var lX4,lY4,lX8,lY8,lResult; lX8 = (lX & 0x80000000); lY8 = (lY & 0x80000000); lX4 = (lX & 0x40000000); lY4 = (lY & 0x40000000); lResult = (lX & 0x3FFFFFFF)+(lY & 0x3FFFFFFF); if (lX4 & lY4) { return (lResult ^ 0x80000000 ^ lX8 ^ lY8); } if (lX4 | lY4) { if (lResult & 0x40000000) { return (lResult ^ 0xC0000000 ^ lX8 ^ lY8); } else { return (lResult ^ 0x40000000 ^ lX8 ^ lY8); } } else { return (lResult ^ lX8 ^ lY8); } } function F(x,y,z) { return (x & y) | ((~x) & z); } function G(x,y,z) { return (x & z) | (y & (~z)); } function H(x,y,z) { return (x ^ y ^ z); } function I(x,y,z) { return (y ^ (x | (~z))); } function FF(a,b,c,d,x,s,ac) { a = AddUnsigned(a, AddUnsigned(AddUnsigned(F(b, c, d), x), ac)); return AddUnsigned(RotateLeft(a, s), b); }; function GG(a,b,c,d,x,s,ac) { a = AddUnsigned(a, AddUnsigned(AddUnsigned(G(b, c, d), x), ac)); return AddUnsigned(RotateLeft(a, s), b); }; function HH(a,b,c,d,x,s,ac) { a = AddUnsigned(a, AddUnsigned(AddUnsigned(H(b, c, d), x), ac)); return AddUnsigned(RotateLeft(a, s), b); }; function II(a,b,c,d,x,s,ac) { a = AddUnsigned(a, AddUnsigned(AddUnsigned(I(b, c, d), x), ac)); return AddUnsigned(RotateLeft(a, s), b); }; function ConvertToWordArray(string) { var lWordCount; var lMessageLength = string.length; var lNumberOfWords_temp1=lMessageLength + 8; var lNumberOfWords_temp2=(lNumberOfWords_temp1-(lNumberOfWords_temp1 % 64))/64; var lNumberOfWords = (lNumberOfWords_temp2+1)*16; var lWordArray=Array(lNumberOfWords-1); var lBytePosition = 0; var lByteCount = 0; while ( lByteCount < lMessageLength ) { lWordCount = (lByteCount-(lByteCount % 4))/4; lBytePosition = (lByteCount % 4)*8; lWordArray[lWordCount] = (lWordArray[lWordCount] | (string.charCodeAt(lByteCount)<<lBytePosition)); lByteCount++; } lWordCount = (lByteCount-(lByteCount % 4))/4; lBytePosition = (lByteCount % 4)*8; lWordArray[lWordCount] = lWordArray[lWordCount] | (0x80<<lBytePosition); lWordArray[lNumberOfWords-2] = lMessageLength<<3; lWordArray[lNumberOfWords-1] = lMessageLength>>>29; return lWordArray; }; function WordToHex(lValue) { var WordToHexValue="",WordToHexValue_temp="",lByte,lCount; for (lCount = 0;lCount<=3;lCount++) { lByte = (lValue>>>(lCount*8)) & 255; WordToHexValue_temp = "0" + lByte.toString(16); WordToHexValue = WordToHexValue + WordToHexValue_temp.substr(WordToHexValue_temp.length-2,2); } return WordToHexValue; }; function Utf8Encode(string) { string = string.replace(/\r /g," "); var utftext = ""; for (var n = 0; n < string.length; n++) { var c = string.charCodeAt(n); if (c < 128) { utftext += String.fromCharCode(c); } else if((c > 127) && (c < 2048)) { utftext += String.fromCharCode((c >> 6) | 192); utftext += String.fromCharCode((c & 63) | 128); } else { utftext += String.fromCharCode((c >> 12) | 224); utftext += String.fromCharCode(((c >> 6) & 63) | 128); utftext += String.fromCharCode((c & 63) | 128); } } return utftext; }; var x=Array(); var k,AA,BB,CC,DD,a,b,c,d; var S11=7, S12=12, S13=17, S14=22; var S21=5, S22=9 , S23=14, S24=20; var S31=4, S32=11, S33=16, S34=23; var S41=6, S42=10, S43=15, S44=21; string = Utf8Encode(string); x = ConvertToWordArray(string); a = 0x67452301; b = 0xEFCDAB89; c = 0x98BADCFE; d = 0x10325476; for (k=0;k<x.length;k+=16) { AA=a; BB=b; CC=c; DD=d; a=FF(a,b,c,d,x[k+0], S11,0xD76AA478); d=FF(d,a,b,c,x[k+1], S12,0xE8C7B756); c=FF(c,d,a,b,x[k+2], S13,0x242070DB); b=FF(b,c,d,a,x[k+3], S14,0xC1BDCEEE); a=FF(a,b,c,d,x[k+4], S11,0xF57C0FAF); d=FF(d,a,b,c,x[k+5], S12,0x4787C62A); c=FF(c,d,a,b,x[k+6], S13,0xA8304613); b=FF(b,c,d,a,x[k+7], S14,0xFD469501); a=FF(a,b,c,d,x[k+8], S11,0x698098D8); d=FF(d,a,b,c,x[k+9], S12,0x8B44F7AF); c=FF(c,d,a,b,x[k+10],S13,0xFFFF5BB1); b=FF(b,c,d,a,x[k+11],S14,0x895CD7BE); a=FF(a,b,c,d,x[k+12],S11,0x6B901122); d=FF(d,a,b,c,x[k+13],S12,0xFD987193); c=FF(c,d,a,b,x[k+14],S13,0xA679438E); b=FF(b,c,d,a,x[k+15],S14,0x49B40821); a=GG(a,b,c,d,x[k+1], S21,0xF61E2562); d=GG(d,a,b,c,x[k+6], S22,0xC040B340); c=GG(c,d,a,b,x[k+11],S23,0x265E5A51); b=GG(b,c,d,a,x[k+0], S24,0xE9B6C7AA); a=GG(a,b,c,d,x[k+5], S21,0xD62F105D); d=GG(d,a,b,c,x[k+10],S22,0x2441453); c=GG(c,d,a,b,x[k+15],S23,0xD8A1E681); b=GG(b,c,d,a,x[k+4], S24,0xE7D3FBC8); a=GG(a,b,c,d,x[k+9], S21,0x21E1CDE6); d=GG(d,a,b,c,x[k+14],S22,0xC33707D6); c=GG(c,d,a,b,x[k+3], S23,0xF4D50D87); b=GG(b,c,d,a,x[k+8], S24,0x455A14ED); a=GG(a,b,c,d,x[k+13],S21,0xA9E3E905); d=GG(d,a,b,c,x[k+2], S22,0xFCEFA3F8); c=GG(c,d,a,b,x[k+7], S23,0x676F02D9); b=GG(b,c,d,a,x[k+12],S24,0x8D2A4C8A); a=HH(a,b,c,d,x[k+5], S31,0xFFFA3942); d=HH(d,a,b,c,x[k+8], S32,0x8771F681); c=HH(c,d,a,b,x[k+11],S33,0x6D9D6122); b=HH(b,c,d,a,x[k+14],S34,0xFDE5380C); a=HH(a,b,c,d,x[k+1], S31,0xA4BEEA44); d=HH(d,a,b,c,x[k+4], S32,0x4BDECFA9); c=HH(c,d,a,b,x[k+7], S33,0xF6BB4B60); b=HH(b,c,d,a,x[k+10],S34,0xBEBFBC70); a=HH(a,b,c,d,x[k+13],S31,0x289B7EC6); d=HH(d,a,b,c,x[k+0], S32,0xEAA127FA); c=HH(c,d,a,b,x[k+3], S33,0xD4EF3085); b=HH(b,c,d,a,x[k+6], S34,0x4881D05); a=HH(a,b,c,d,x[k+9], S31,0xD9D4D039); d=HH(d,a,b,c,x[k+12],S32,0xE6DB99E5); c=HH(c,d,a,b,x[k+15],S33,0x1FA27CF8); b=HH(b,c,d,a,x[k+2], S34,0xC4AC5665); a=II(a,b,c,d,x[k+0], S41,0xF4292244); d=II(d,a,b,c,x[k+7], S42,0x432AFF97); c=II(c,d,a,b,x[k+14],S43,0xAB9423A7); b=II(b,c,d,a,x[k+5], S44,0xFC93A039); a=II(a,b,c,d,x[k+12],S41,0x655B59C3); d=II(d,a,b,c,x[k+3], S42,0x8F0CCC92); c=II(c,d,a,b,x[k+10],S43,0xFFEFF47D); b=II(b,c,d,a,x[k+1], S44,0x85845DD1); a=II(a,b,c,d,x[k+8], S41,0x6FA87E4F); d=II(d,a,b,c,x[k+15],S42,0xFE2CE6E0); c=II(c,d,a,b,x[k+6], S43,0xA3014314); b=II(b,c,d,a,x[k+13],S44,0x4E0811A1); a=II(a,b,c,d,x[k+4], S41,0xF7537E82); d=II(d,a,b,c,x[k+11],S42,0xBD3AF235); c=II(c,d,a,b,x[k+2], S43,0x2AD7D2BB); b=II(b,c,d,a,x[k+9], S44,0xEB86D391); a=AddUnsigned(a,AA); b=AddUnsigned(b,BB); c=AddUnsigned(c,CC); d=AddUnsigned(d,DD); } var temp = WordToHex(a)+WordToHex(b)+WordToHex(c)+WordToHex(d); return temp.toLowerCase(); } function SendForm () { window.document.login_form.r_type.value = MD5(window.document.login_form.r_type.value + window.document.login_form.name.value + MD5(window.document.login_form.p_type.value)); window.document.login_form.p_type.value = ":)"; } %% ===validate.php=== %%(php) <?php function validate($name){ require "base.php"; if (!isset($base[$name])){ return "NULL"; } return $base[$name]; } ?> %% ===config.php=== %%(php) <?php $k = "server_secret"; //секретный показатель, известный только серверу $access_interval = 60; //временной интервал в течении которого должен быть получен ответ, в секундах ?> %% ===base.php=== В оригинале статьи файл имел расширение .txt, что позволяло тривиально считать его содержимое, просто открыв его в браузере (если только файл не лежал за пределами публичной дериктории сервера). ++//[[Username:SATtva SATtva]] (30/03/2007 13:16)//++ %%(php) <?php $base['user1'] = "b4ca6e90dcef1196a20930c2d9ecfbc0"; ?> %%
Ваше имя:
Запомнить псевдоним (сохранить в cookie)
OpenPGP-подписанный текст в кодировке
CP1251 (Windows)
UTF-8
KOI8-R
CP866 (DOS)
KOI8-U
Помощь
Сохранить параметры OpenPGP в cookie
Пожалуйста, напишите, кого/что вы видите
на изображенной слева картинке. Если
там несколько персонажей/предметов,
перечислите их в именительном падеже
через пробел (одинаковых приводите во
множественном числе).
(осталось попыток на решение теста: 3)
Поддержка
BBCode
включена
Нормы пользования
. Некоторые права на материалы сайта защищены по условиям лицензии CreativeCommons. Движок
openSpace 0.8.24a
и дизайн сайта © 2006-2007
Vlad "SATtva" Miller
.