Skip to main content
1 / 2

Java Servletにおいて、SHA-256でダイジェスト認証のWW-Authenticateヘッダを送信するとクライアント側が結果を返して来なくなる

Digest認証を行うWebAPIの開発を行なっていますが、メッセージダイジェストのアルゴリズムをSHA-256にすると、クライアント側がクラッシュするようです。
サーバー側の実装に何か問題あるのでしょうか。
言語:Java、サーバー:Tomcat7.0
OS:サーバー、クライアントともにWindows10
Digest認証は、システムの認証情報の格納先が特殊である関係上、tomcatのweb.xmlやserver.xml、tomcat-users.xmlなど設定ファイルによる認証設定ではなく、Servlet内でWWW-Authenticateヘッダの送信やAuthorizationヘッダの受信を実装しています。
この際、ダイジェストのalgorithmとしてMD5を使用すると認証が成功するのですが、非推奨であるためSHA-256に変更すると、WW-Authenticateヘッダ送信後にクライアント側が結果を返せずに処理が止まってしまう状態になってしまいます。
・送信したWW-Authenticateヘッダの例
WWW-Authenticate: Digest realm="example.com",qop=auth,nonce="f5d6eeccc66664731c72e3300d3dfadf",opaque="56b2ea6d037b522661a3719ec48b7d9a",algorithm=SHA-256
※algorithm=MD5にすると成功する
・クライアント側の挙動
(ブラウザの場合)ユーザー、パスワードを入力するダイアログが表示されないまま、Httpステータス401でエラーになる。
開発者ツールで通信状態を見ると、WWW-Authenticate:は受け取っているようですがAuthorizationを生成している様子はない。
(curlコマンドの場合)curl -v -k --digest --user "ユーザ:パスワード" "url"
WWW-Authenticateヘッダを受け取った後、curlがout of memory のメッセージを出して終了する