最新の安定バージョンについては、Spring Security 6.4.5 を使用してください! |
ダイジェスト認証
このセクションでは、Spring Security が DigestAuthenticationFilter
を提供するダイジェスト認証 [IETF] (英語) のサポートを提供する方法について詳しく説明します。
ダイジェスト認証は安全ではないと考えられているため、最新のアプリケーションでは使用しないでください。最も明らかな問題は、パスワードをプレーンテキスト、暗号化、MD5 形式で保存する必要があることです。これらの保存形式はすべて安全ではないと考えられています。代わりに、ダイジェスト認証ではサポートされていない一方向の適応型パスワードハッシュ (bCrypt、PBKDF2、SCrypt など) を使用して資格情報を保存する必要があります。 |
ダイジェスト認証は基本認証の多くの弱点の解決を試みます。具体的には、資格情報がクリアテキストで送信されないようにします。多くのブラウザーがダイジェスト認証をサポートしています [Mozilla] 。
HTTP ダイジェスト認証を管理する標準は、RFC 2617 [IETF] (英語) によって定義されます。RFC 2617 [IETF] (英語) は、RFC 2069 [IETF] (英語) によって規定されたダイジェスト認証標準の以前のバージョンを更新します。ほとんどのユーザーエージェントは RFC 2617 を実装します。Spring Security のダイジェスト認証サポートは、RFC 2617 で規定されている "auth" 保護品質(qop
)と互換性があり、RFC 2069 との下位互換性も提供します。暗号化されていない HTTP(つまり TLS/HTTPS を使用しない)を使用し、認証プロセスのセキュリティを最大限に高めるため。ただし、誰もが HTTPS を使用する必要があります。
ダイジェスト認証の中心は「ノンス」です。これは、サーバーが生成する値です。Spring Security のノンスは次の形式を採用しています。
base64(expirationTime + ":" + md5Hex(expirationTime + ":" + key))
expirationTime: The date and time when the nonce expires, expressed in milliseconds
key: A private key to prevent modification of the nonce token
NoOpPasswordEncoder
を使用して安全でないプレーンテキストパスワード保存を構成していることを確認する必要があります。次に、Java 構成を使用してダイジェスト認証を構成する例を示します。
Java
XML
@Autowired
UserDetailsService userDetailsService;
DigestAuthenticationEntryPoint entryPoint() {
DigestAuthenticationEntryPoint result = new DigestAuthenticationEntryPoint();
result.setRealmName("My App Realm");
result.setKey("3028472b-da34-4501-bfd8-a355c42bdf92");
}
DigestAuthenticationFilter digestAuthenticationFilter() {
DigestAuthenticationFilter result = new DigestAuthenticationFilter();
result.setUserDetailsService(userDetailsService);
result.setAuthenticationEntryPoint(entryPoint());
}
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
// ...
.exceptionHandling(e -> e.authenticationEntryPoint(authenticationEntryPoint()))
.addFilterBefore(digestFilter());
return http.build();
}
<b:bean id="digestFilter"
class="org.springframework.security.web.authentication.www.DigestAuthenticationFilter"
p:userDetailsService-ref="jdbcDaoImpl"
p:authenticationEntryPoint-ref="digestEntryPoint"
/>
<b:bean id="digestEntryPoint"
class="org.springframework.security.web.authentication.www.DigestAuthenticationEntryPoint"
p:realmName="My App Realm"
p:key="3028472b-da34-4501-bfd8-a355c42bdf92"
/>
<http>
<!-- ... -->
<custom-filter ref="userFilter" position="DIGEST_AUTH_FILTER"/>
</http>