Proxy-Authenticate

Verwendung

Wenn ein Client eine Anfrage über einen Proxy-Server sendet, der Anmeldedaten verlangt, antwortet der Proxy mit dem Statuscode 407 und fügt den Proxy-Authenticate-Header hinzu. Dieser Header teilt dem Client mit, welches Authentifizierungsschema zu verwenden ist, und liefert alle Parameter, die zum Erzeugen der Anmeldedaten benötigt werden.

Nach Erhalt der Aufforderung sendet der Client die Anfrage erneut, diesmal mit einem Proxy-Authorization-Header, der die passenden Anmeldedaten enthält. Der Proxy validiert die Anmeldedaten und leitet die Anfrage bei Erfolg an den Zielserver weiter.

Der Proxy-Authenticate-Header wirkt auf Proxy-Ebene. Das entsprechende Gegenstück für die Authentifizierung am Origin-Server ist WWW-Authenticate, das statt einer 407- eine 401-Antwort auslöst.

Mehrere Proxy-Authenticate-Header in einer einzigen Antwort zeigen an, dass der Proxy mehr als ein Schema akzeptiert. Der Client wählt das stärkste Schema, das beide Seiten unterstützen.

scheme

Der Wert von scheme benennt das Authentifizierungsverfahren. Gängige Werte sind Basic, Digest, Bearer und Negotiate. Die vollständige Liste der registrierten Schemata wird von der IANA gepflegt.

realm

Der Parameter realm ist eine optionale Zeichenkette, die den Schutzbereich beschreibt. Clients zeigen den realm-Wert üblicherweise in der Eingabeaufforderung für die Anmeldedaten an. Wird er weggelassen, zeigt der Client standardmäßig den Hostnamen des Proxys an.

Schemaspezifische Parameter

Jedes Authentifizierungsschema definiert zusätzliche Parameter. Das Digest-Schema umfasst nonce, qop, algorithm und opaque. Das Bearer-Schema umfasst scope und error. Diese Parameter erscheinen im Header-Wert hinter dem Schemanamen.

Beispiel

Ein Proxy, der Basic-Authentifizierung verlangt, gibt eine Aufforderung mit einem beschreibenden realm zurück. Der realm-Wert sagt dem Benutzer, welche Anmeldedaten erwartet werden.

Proxy-Authenticate: Basic realm="Corporate Proxy"

Ein Proxy, der das Digest-Schema unterstützt, fügt eine servergenerierte nonce hinzu, um Replay-Angriffe zu verhindern.

Proxy-Authenticate: Digest realm="proxy@example.re", nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093", qop="auth"

Ein Proxy, der mehrere Authentifizierungsschemata anbietet, listet jedes davon in einer eigenen Zeile auf. Der Client wählt die stärkste unterstützte Option.

Proxy-Authenticate: Negotiate
Proxy-Authenticate: Basic realm="Internal Network"