Cookie在HTTP-PROXY身份认证中的应用.pdfVIP

Cookie在HTTP—PROXY身份认证中的应用 桑和王志军 北京大学电子学系 摘要随着Internet的普及应用，大量敏感数据上网，PROXY的使用越来越普遍。 PROXY的主要功能在于对片j户进行身份认证和访问权限控制，实现对数据传输 用户密码窃听和盗用问题．对传统的PROXY身份认证进行了改进，并使用cookie 实现了一种简单易行的准一次性身份认证方案。 戈键词：身份认证PROXY cookie防火墙 前言 随著Interact网的发展，其上的资源不仅局限在可被共享的信息这个狭小 范围。网上购物、网上交易、政府上网等行为的出现使得网络资源出现一定的私 有性。信息提供者由原来完全公开信息转变为现在的有选择的发布信息。许多敏 供者的关注。为有选择的给用户提供信息服务，保护自己的敏感数据，PROXY(代 理服务器)被广泛使用。 (鲻一) PROXY是防火墙的一种，是针对特定的应用(协议)的应用层网关(这 里以HTTP协议为例．无特蛛说明本文的PROXY指基于H丁rP协议的代理服务 器’。由于PROXY是一种应川层网关，所以，它可以实现面向用户的访问控制。 ≮冠一类型的防火墙——包过滤器面向IP包的流量控制相比较，更具灵活性。 PROX、将J：}I户和Web服务器分剖开来，对I{]户避行身份验证，控制用户访问权 限．阻lrl|法用户入侵．监控州户流最．起剑安全控制作用。PROXYJ。作原理 心旧 所示 对jⅢ声}m再．PROXY作为服务器接受HTTP请求，*析请求的 68 磕 权限，记录请求的内容。然后PROXY向Web服务器转发请求．接收服务器的响 应．分析、记录响应内容，转发给客户端。对于客户和服务器双方而言，代理是 透明的。 一、普通PROXY身份认证过程分析 1、PROXY身份认证过程 在HTTPII，0【l】以前的协议中只规定了基于服务器资源的身份认证。 HTTP／1．I[2]为实现基于代理的用户身份认证，定义了专门的协议头：Proxy． Authenticate：。 基于代理的身份认证过程如幽二所示。当客户端测览器设置好PROxY有 关信息以后(或启动已经设置好PROXY有关信息的浏览器)向PROXY发起的 返回407错误代码提示测览器提交身份认证信息，并断开第一次连接。浏览器收 到该错误代码后弹出对话框提示用户输入用户信息，并向PROXY第二次提交 根据该用户信息验证用户的身份，同时过滤掉该行信息。在投有退出之前．浏览 PROXY认证使用。 ‘～～．-．点翼芝鬟～．．．一 4。79”x y 即”‘ Rt·a—c eAquunthe．e∽nti ／一一拶缈一。 ～．．．壹二戮美．燮： f幽一) 2、PRoXY认证过程的不足 基于H下rP协议的造接是无状态的，即浏览器向服务器发起一次请求以后 连接断开，湖览器和服务器不记录彼此的状忠．这种简单的处理连接机翩使得Web 信息在庞大的互联网上得以实现业享和决述{‘输。然而这种无状态的特性也使得 用户身份认证的安全性很雄稼Ⅲ，…J般争}嚣波冉10忆能力，测览器在每一次请 求时都需向服务器提交记录川，’身份n’川¨￡_、．1mHfl浏览器没7r退}i{之ij百该协 69 议头是相同的(_表示同一个用户)。身份信息的多次、重复传输使得用户身份信息 很容易被窃听、盗用。而服务器仅仅依靠身份认证协议头来判断是否为合法用户 也使得口令被盗用的行为不易被发觉。 二、普通PRoXY身份认证过程的改进 为避免上述机制带来的安全漏洞，在HTTP请