QAuthenticator Class

Description détaillée

La classe QAuthenticator est généralement utilisée dans les signaux « authenticationRequired() » et « proxyAuthenticationRequired() » des classes « QNetworkAccessManager » et « QAbstractSocket ». Cette classe permet de renvoyer les informations d'authentification requises au socket lors de l'accès à des services nécessitant une authentification.

QAuthenticator prend en charge les méthodes d'authentification suivantes :

• Basic
• NTLM version 2
• Digest-MD5
• SPNEGO/Negotiate

Options

Outre le nom d'utilisateur et le mot de passe requis pour l'authentification, un objet QAuthenticator peut également contenir des options supplémentaires. La fonction options() permet d'interroger les options entrantes envoyées par le serveur ; la fonction setOption() permet de définir les options sortantes, qui seront traitées lors du calcul d'authentification. Les options acceptées et fournies dépendent du type d'authentification (voir method()).

Les tableaux suivants répertorient les options entrantes connues ainsi que les options sortantes acceptées. La liste des options entrantes n’est pas exhaustive, car les serveurs peuvent inclure des informations supplémentaires à tout moment. La liste des options sortantes est en revanche exhaustive, et aucune option inconnue ne sera traitée ni renvoyée au serveur.

Basic

Le mécanisme d’authentification Basic ne prend en charge aucune option sortante.

NTLM version 2

Le mécanisme d'authentification NTLM ne prend actuellement en charge aucune option d'entrée ou de sortie. Sous Windows, si aucun paramètre « user » n'a été défini, le système local recherchera les identifiants d'\user s du domaine afin d'activer la fonctionnalité d'authentification unique (Single-Sign-On).

Digest-MD5

Le mécanisme d'authentification Digest-MD5 ne prend en charge aucune option sortante.

SPNEGO/Negotiate

Ce mécanisme d’authentification ne prend actuellement en charge aucune option pour le trafic entrant.

La propriété « spn » est utilisée sur les clients Windows lorsqu'une bibliothèque SSPI est employée. Si cette propriété n'est pas définie, un SPN par défaut sera utilisé. Le SPN par défaut sous Windows est HTTP/<hostname>.

Les autres systèmes d'exploitation utilisent des bibliothèques GSSAPI. Pour cela, il est supposé que le KDC est configuré et que les informations d'identification peuvent y être récupérées. Le backend utilise toujours HTTPS@<hostname> comme SPN.

Considérations de sécurité

QAuthenticator stocke en interne les identifiants, tels que les noms d’utilisateur et les mots de passe, à l’aide de types de données génériques (QString, QByteArray) qui ne garantissent pas l’effacement sécurisé de leur contenu de la mémoire lors de leur destruction. Les identifiants peuvent persister dans des pages de tas libérées, des vidages de mémoire, des fichiers d’échange ou la mémoire du processus après la destruction ou la purge d’un objet QAuthenticator.

Lorsque l'authentification Basic est négociée, les identifiants sont transmis à l'aide du codage Base64, qui est facilement réversible. L'authentification Basic ne doit être utilisée que sur des connexions chiffrées par TLS. QAuthenticator n'impose pas cette exigence ; il incombe aux applications de garantir la sécurité du transport lorsque l'authentification Basic est utilisée.

QAuthenticator sélectionne la méthode d’authentification la plus forte proposée par le serveur, en suivant un ordre de priorité interne fixe : Negotiate (Kerberos/SPNEGO), NTLM, Digest-MD5 et Basic. L’application ne peut actuellement pas influencer ce choix ni restreindre les méthodes acceptables. Si un serveur ou un proxy ne propose qu’une méthode faible, celle-ci sera utilisée sans notification.

Les applications soumises à des exigences strictes en matière de sécurité des identifiants doivent en tenir compte lorsqu’elles décident comment et où utiliser QAuthenticator.