python - 如何向(Python)扭曲的 xmlrpc 服务器添加身份验证

Question

我试图在不使用 user:password@host 的情况下向 xmlrpc 服务器(将在 P2P 网络的节点上运行)添加身份验证，因为这会将密码泄露给所有攻击者。身份验证基本上是创建一个专用网络，防止未经授权的用户访问它。

我的解决方案是创建一个与 this 非常相似的挑战响应系统但我不知道如何将其添加到 xmlrpc 服务器代码中。我发现了一个类似的问题(Where custom authentication was needed)here .

所以我尝试创建一个模块，每当客户端连接到服务器时都会调用该模块。这将连接到客户端上运行的挑战-响应服务器，如果客户端正确响应，将返回 True。唯一的问题是我只能调用该模块一次，然后我得到了一个 reactor cannot be restarted 错误。那么有没有什么方法可以让一个类在调用“check()”函数时连接并执行此操作？

最简单的方法是使用 SSL 连接吗？那会保护密码吗？尽管此解决方案不是最佳解决方案，因为我试图避免必须为所有节点生成 SSL 证书。

Answer 1

不要发明自己的身份验证方案。已经有很多很棒的方案，您不想负责对您的发明中存在的漏洞进行安全研究。

有两种非常广泛支持的 HTTP 身份验证机制(XML-RPC 在其上运行，因此它们适用于 XML-RPC)。一个是“基本”，另一个是“摘要”。如果您决定通过 SSL 运行，则“基本”很好。如果你真的不能使用 SSL，Digest 更合适。

Twisted Web 通过 twisted.web.guard.HTTPAuthSessionWrapper 支持两者，copious documentation .