「CTFの練習問題」的な文脈で「ダイジェスト認証」に触れる機会がありました。復習兼ね関連する要素（Webサーバ側設定／サーバ・クライアント挙動／ローカルプロキシツール・・・）について確認・検証をしたいと思います。
Apacheでの設定
Docker、わかっているかわかっていないかでいえば、わかっていないですがとりあえずイメージを落として起動してみたところ、2.4.46というバージョンでした。
httpd.conf
「auth_digest_module」というものが必要とのこと、デフォルトコメントですのでコメント外して有効化しました。
また、この後.htaccessでディレクトリに対してダイジェスト認証設定をするため、ドキュメントルートは以下を「AllowOverride All」としています。
htdigest
ダイジェスト認証用のユーザを作成するコマンドです。
# htdigest
Usage: htdigest [-c] passwordfile realm username
The -c flag create a new file.
とのことですので
# htdigest -c ../conf/passwords digest digest_user
Adding password for digest_user in realm digest.
New password:
Re-type new password:
ここでパスワードを「password」とした場合、生成されるpasswordsファイルには以下の1行が登録されます。
digest_user:digest:46328f2142603a1d167a1a19de5210bf
「:」区切りの3つ目の要素が後述のHA1となりますが、これは以下のコマンドで取得できるハッシュ値と一致します。
$ echo -n "digest_user:digest:password" | md5sum
46328f2142603a1d167a1a19de5210bf
ダイジェスト認証を要求するディレクトリの設定
htdocs/digest ディレクトリをダイジェスト認証必要と位置付け、.htaccessでダイジェスト認証の設定を行いました。
AuthType Digest
AuthName "digest"
AuthUserFile /path_to_passwords_file/passwords
Require valid-user
動作確認
当該パスをリクエストすると、以下がレスポンスされ
ブラウザ側では例のユーザ・パスワードを求めるダイアログが表示されます。
上記で登録したユーザ・パスワードを入力して「ログイン」を押下すると、以下がリクエストされ、接続許可（200 OK）されました。
response="XXX" の部分がサーバ側から与えられたnonce等の値と、ブラウザでユーザにより入力されたユーザ、パスワード等から生成された値であり、サーバ側でも同じ情報・アルゴリズムで生成して値を比較、認証OK/NGを返すという流れと理解。
続編にてこのresponse="XXX"の算出手順を検証・確認します。
2021年06月30日 初版