[3] HTTP auth-scheme Negotiate Microsoft Windows における Kerberos 認証を HTTP
上で実現するためのものとして、 RFC 4559
仕様書 [1] RFC 4559 - SPNEGO-based Kerberos and NTLM HTTP Authentication in Microsoft Windows (2014-03-09 13:55:50 +09:00 版) https://tools.ietf.org/html/rfc4559 [9] RFC Errata Report (2014-10-21 15:03:16 +09:00 版) http://www.rfc-editor.org/errata_search.php?rfc=4559 challenge [5] WWW-Authenticate: ヘッダー に記述する challenge
では、 auth-scheme Negotiate gssapi-data または空文字列 をリスト
(#) として記述することになっています >>1
[202] 1つ以上という定義にはなっていますが、空文字列 となり得るので、
省略可能とも解釈できます。[6] 200 応答 でも WWW-Authenticate: ヘッダー を含めることができます >>1
credentials [201] Authorization: ヘッダー の記述する credentials
では、 auth-scheme Negotiate gssapi-data
をリスト (#) として記述することになっています >>1
串 [203] 串 の認証には使いません >>1
[204] クライアント と鯖 の間に串 があるときは、
認証された接続 を共有しないように注意が必要です。
クライアント ・鯖 間の整合性 を尊重する串 は
Proxy-support: Session-Based-Authentication ヘッダー を応答 に含めることになっており、
クライアント はそうでない場合に本認証を用いてはなりません >>1
HTTP との整合性 [206] RFC 7230 は、鯖 が一般に同じ接続 に含まれる複数の要求 が同じ利用者エージェント に由来するものと仮定することを禁止しており、
RFC 4559 はこれに違反しセキュリティー と相互運用性 上の問題があると指摘しています
>>205 , >>7
auth-scheme [205] RFC 7230 - Hypertext Transfer Protocol (HTTP/1.1): Message Syntax and Routing (2014-06-07 01:59:35 +09:00 版) https://tools.ietf.org/html/rfc7230#page-11 [7] RFC 7236 - Initial Hypertext Transfer Protocol (HTTP) Authentication Scheme Registrations (2014-09-10 00:40:16 +09:00 版) https://tools.ietf.org/html/rfc7236#section-3 [8] また challenge と credentials の構文が HTTP 本体仕様に適合していません
>>7
Proxy-Support: ヘッダー (HTTP)[1] Internet Explorer and Custom HTTP Headers - IEInternals - Site Home - MSDN Blogs (2012-11-18 02:14:23 +09:00 版) http://blogs.msdn.com/b/ieinternals/archive/2009/06/30/internet-explorer-custom-http-headers.aspx Proxy-Support
Introduced in IE5 (or 6?) to allow proxies to specify that they understand NTLM/Negotiate authentication schemes. It has one legal value ("Session-Based-Authentication"). If present, IE will permit the multi-step NTLM/Negotiate handshake to take place through a proxy server. Otherwise, the 401 is treated as a fatal error and returned to the client. [16] 多段串 になっている時に Connection: Proxy-support
実装 [11] IE 、Firefox >>12 Chrome >>10
[15] Safari では動作しないようです >>14
[10] HTTP authentication - The Chromium Projects (2014-11-07 19:48:57 +09:00 版) http://www.chromium.org/developers/design-documents/http-authentication [12] Configuring Firefox for Negotiate Authentication (2010-07-10 01:02:53 +09:00 版) http://people.redhat.com/mikeb/negotiate/ [13] 652196 – No UI for "WWW-Authenticate: Negotiate" / SPNEGO in Firefox; Works in IE (2014-11-07 22:11:08 +09:00 版) https://bugzilla.mozilla.org/show_bug.cgi?id=652196 [14] mavericks - Safari 7 can't connect to intranet using HTTP authentication - Ask Different (2014-11-07 22:12:01 +09:00 版) http://apple.stackexchange.com/questions/118150/safari-7-cant-connect-to-intranet-using-http-authentication 関連 [4] Negotiate: ヘッダー とは関係ありません。
メモ [2] HTTP/1.1 WWW-Authenticate header (2009-07-19 11:05:40 +09:00 版) http://www.http-stats.com/WWW-Authenticate
WWW-Authenticate: Negotiate [17] curl - How To Use , 2020-09-21T09:01:13.000Z , 2020-10-01T06:21:35.313Z https://curl.haxx.se/docs/manpage.html#--negotiate