关于DIGEST的理解

Question

我的理解是，DIGEST通过服务器生成nonce内容给客户端然后双方利用nonce内容结合算法得出加密算法，然后密码等信息加密后传输，采用的对称加密但是加密算法会变化，而BASIC由于采用不变的加密算法导致被加密的信息一旦被获取就能够被解密存在大风险。老师我的理解正确吗？

Answer 1

风落几番 2021-01-22 09:17:27

基本是对的，我整体总结下哈：

Digest用了一种nonce随机数字符串，双方约好对哪些信息进行哈希运算即可完成双方身份的验证。Digest模式避免了密码在网络上明文传输，提高了安全性，但它仍然存在缺点，例如认证报文被攻击者拦截到攻击者可以获取到资源，
DIGEST 认证提供了高于 BASIC 认证的安全等级。DIGEST 认证提供防止密码被窃听的保护机制，但并不存在防止用户伪装的保护机制。DIGEST 认证和 BASIC 认证一样，使用上不那么便捷灵活，且仍达不到多数 Web 网站对高度安全等级的追求标准。因此它的适用范围也有所受限。

• 提问者 Wonwayshon #1

  非常感谢！