Page 233 - 4785

- Digest - дайджест-аутентифікація, при якій пароль
користувача передається в хешировані вигляді. За рівнем
конфіденційності паролів цей тип мало чим відрізняється від
попереднього, так як атакуючому все одно, чи дійсно це справжній
пароль або тільки хеш від нього: перехопивши посвідчення, він все
одно отримує доступ до кінцевої точки. Для даного типу
аутентифікації використання SSL є обов'язковим.
- Integrated - інтегрована аутентифікація, при якій клієнт і
сервер обмінюються повідомленнями для з'ясування автентичності
один одного за допомогою протоколів NTLM або Kerberos. Цей тип
аутентифікації захищений від перехоплення посвідчень
користувачів, тому для нього не потрібно протокол SSL. Тільки при
використанні даного типу аутентифікації можна працювати за
схемою http, у всіх інших випадках необхідно використовувати
схему https.
6.4 Cookie
Оскільки HTTP-сервер не пам'ятає передісторії запитів
клієнтів, то кожен запит обробляється незалежно від інших, і у
сервера немає можливості визначити, чи виходять запити від одного
клієнта або різних клієнтів.
Якщо сервер перевірятиме TCP-з'єднання і запам'ятовувати
IP-адреси комп'ютерів-клієнтів, він все одно не зможе розрізнити
запити від двох браузерів, що виконуються на одній машині. І навіть
якщо допустити, що на комп'ютері працює лише одна клієнт-
програма, то ніхто не може стверджувати, що в проміжку між двома
запитами вона не була завершена, а потім запущена знову вже
іншим користувачем.
Тим не менше, якщо ви коли-небудь користувалися
поштовою скринькою на mail.ru або на іншому сервері, що надає
поштові послуги користувачам Веб, згадайте, як поводився клієнт
після того, як ви створили для себе поштову скриньку на сервері.
Коли ви наступного разу звернулися з того ж комп'ютера до mail.ru,
ви, мабуть, помітили, що після завантаження веб-сторінки ваше
реєстраційне ім'я вже відображалося у відповідному полі введення.
Такі відомості дозволяє отримати додатковий засіб під
назвою cookie. Механізм cookie дозволяє серверу зберігати
інформацію на комп'ютері клієнта і витягувати її звідти.

231