QAuthenticator Class

Ausführliche Beschreibung

Die Klasse „QAuthenticator“ wird üblicherweise in den Signalen „ authenticationRequired()“ und „ proxyAuthenticationRequired()“ von „ QNetworkAccessManager “ und „ QAbstractSocket “ verwendet. Die Klasse bietet eine Möglichkeit, die erforderlichen Authentifizierungsinformationen an den Socket zurückzugeben, wenn auf Dienste zugegriffen wird, die eine Authentifizierung erfordern.

QAuthenticator unterstützt die folgenden Authentifizierungsmethoden:

• Basic
• NTLM Version 2
• Digest-MD5
• SPNEGO/Negotiate

Optionen

Neben dem für die Authentifizierung erforderlichen Benutzernamen und Passwort kann ein `QAuthenticator`-Objekt auch zusätzliche Optionen enthalten. Mit der Funktion ` options()` können vom Server gesendete Optionen abgefragt werden; mit der Funktion ` setOption()` können ausgehende Optionen festgelegt werden, die bei der Authentifizierungsberechnung verarbeitet werden sollen. Welche Optionen akzeptiert und bereitgestellt werden, hängt vom Authentifizierungstyp ab (siehe method()).

Die folgenden Tabellen listen bekannte eingehende Optionen sowie akzeptierte ausgehende Optionen auf. Die Liste der eingehenden Optionen ist nicht vollständig, da Server jederzeit zusätzliche Informationen hinzufügen können. Die Liste der ausgehenden Optionen ist jedoch vollständig, und unbekannte Optionen werden weder verarbeitet noch an den Server zurückgesendet.

Basic

Der Basic-Authentifizierungsmechanismus unterstützt keine Optionen für ausgehende Verbindungen.

NTLM Version 2

Der NTLM-Authentifizierungsmechanismus unterstützt derzeit keine Optionen für eingehenden oder ausgehenden Datenverkehr. Wenn unter Windows kein „ user “ festgelegt wurde, wird auf dem lokalen System nach Anmelde\user en der Domäne gesucht, um die Single-Sign-On-Funktionalität zu aktivieren.

Digest-MD5

Der Digest-MD5-Authentifizierungsmechanismus unterstützt keine Optionen für ausgehende Verbindungen.

SPNEGO/Negotiate

Dieser Authentifizierungsmechanismus unterstützt derzeit keine Optionen für eingehenden Datenverkehr.

Die Eigenschaft „ spn “ wird auf Windows-Clients verwendet, wenn eine SSPI-Bibliothek zum Einsatz kommt. Ist die Eigenschaft nicht festgelegt, wird ein Standard-SPN verwendet. Der Standard-SPN unter Windows lautet „ HTTP/<hostname> “.

Andere Betriebssysteme verwenden GSSAPI-Bibliotheken. Dabei wird vorausgesetzt, dass ein KDC eingerichtet ist und die Anmeldeinformationen von dort abgerufen werden können. Das Backend verwendet stets „ HTTPS@<hostname> “ als SPN.

Sicherheitshinweise

QAuthenticator speichert Anmeldedaten wie Benutzernamen und Passwörter intern unter Verwendung allgemeiner Datentypen (QString, QByteArray), die keine sichere Löschung ihrer Inhalte aus dem Speicher bei der Zerstörung garantieren. Anmeldedaten können nach der Zerstörung oder dem Löschen eines QAuthenticator-Objekts in freigegebenen Heap-Seiten, Core-Dumps, Auslagerungsdateien oder im Prozessspeicher verbleiben.

Bei der Aushandlung der Basic-Authentifizierung werden Anmeldedaten mittels Base64-Kodierung übertragen, die leicht rückverwandelbar ist. Die Basic-Authentifizierung sollte nur über TLS-verschlüsselte Verbindungen verwendet werden. QAuthenticator erzwingt diese Anforderung nicht; Anwendungen sind dafür verantwortlich, die Transportsicherheit zu gewährleisten, wenn die Basic-Authentifizierung verwendet wird.

QAuthenticator wählt die stärkste vom Server angebotene Authentifizierungsmethode anhand einer festen internen Prioritätsreihenfolge aus: „Negotiate“ (Kerberos/SPNEGO), NTLM, Digest-MD5 und Basic. Die Anwendung kann diese Auswahl derzeit nicht beeinflussen oder einschränken, welche Methoden akzeptabel sind. Wenn ein Server oder Proxy nur eine schwache Methode anbietet, wird diese ohne Benachrichtigung verwendet.

Anwendungen mit strengen Anforderungen an die Sicherheit von Anmeldedaten sollten dies berücksichtigen, wenn sie entscheiden, wie und wo QAuthenticator eingesetzt werden soll.