0

Digest認証を行うWebAPIの開発を行なっていますが、メッセージダイジェストのアルゴリズムをSHA-256にすると、クライアント側がクラッシュするようです。
サーバー側の実装に何か問題あるのでしょうか。

言語:Java、サーバー:Tomcat7.0
OS:サーバー、クライアントともにWindows10

Digest認証は、システムの認証情報の格納先が特殊である関係上、tomcatのweb.xmlやserver.xml、tomcat-users.xmlなど設定ファイルによる認証設定ではなく、Servlet内でWWW-Authenticateヘッダの送信やAuthorizationヘッダの受信を実装しています。
この際、ダイジェストのalgorithmとしてMD5を使用すると認証が成功するのですが、非推奨であるためSHA-256に変更すると、WW-Authenticateヘッダ送信後にクライアント側が結果を返せずに処理が止まってしまう状態になってしまいます。

送信したWW-Authenticateヘッダの例

WWW-Authenticate: Digest realm="example.com",qop=auth,nonce="f5d6eeccc66664731c72e3300d3dfadf",opaque="56b2ea6d037b522661a3719ec48b7d9a",algorithm=SHA-256

※algorithm=MD5にすると成功する

クライアント側の挙動

  • ブラウザの場合
    ユーザー、パスワードを入力するダイアログが表示されないまま、Httpステータス401でエラーになる。
    開発者ツールで通信状態を見ると、WWW-Authenticate:は受け取っているようですがAuthorizationを生成している様子はない。

  • curlコマンドの場合
    curl -v -k --digest --user "ユーザ:パスワード" "url"
    WWW-Authenticateヘッダを受け取った後、curlがout of memory のメッセージを出して終了する

0

1 件の回答 1

1

英語版Wikipediaによると

However, as of July 2021, none of popular browsers, including Firefox[1] and Chrome,[2] support SHA-256 as the hash function.

とのことで、サポートしている(メジャーな)実装が無いようです。
(curl対応されているようにも見えますが(#1018))

3
  • ちなみにFirefox90ではダイアログは出ました。 2021年8月1日 22:58
  • コメントありがとうございます。Firefox90試しましたが、ダイアログは出ますがAuthorizationヘッダを送信できていないらしく、認証が通るまでは進みませんでした。 やはり、SHA-256は現状ではブラウザからのアクセスに関してはあきらめた方がいいのでしょうか。 2021年8月2日 2:58
  • こちらは質問文中「ブラウザの場合(中略)ダイアログが表示されない」に対する補足でした(ダイアログが出るか出ないかはブラウザ実装に依る)。対応状況については本文記載の通り、FirefoxもSHA-256は未対応でしょう。ので、おっしゃる通り、ブラウザでは現状通らないだろうかと。 2021年8月2日 11:58

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。