Problem mit Update von ApacheHttpClient von 5.2 auf 5.3

[DaBe1812]

Wahrscheinlich ist die Lösung total einfach und ich bin zu blöde um sie zu sehen.
Im ApacheHttpClient 5.3 ist NTCredentials deprecated. Diese funktionalität habe ich aber verwendet:

private HttpClientContext buildDefaultContext() {

    AuthScope authScope = new AuthScope((SSL ? "HTTPS" : "HTTP"), SERVER, PORT, null, null);
    BasicCredentialsProvider credsProvider = new BasicCredentialsProvider();

    if(AUTH == Authorization.BASIC) {
        credsProvider.setCredentials(authScope, new UsernamePasswordCredentials(USERNAME, PASSWORD.toCharArray()));
    } else if(AUTH == Authorization.NT) {
        credsProvider.setCredentials(authScope, new NTCredentials(USERNAME, PASSWORD.toCharArray() ,null, REFSYSCONFIG.get("DOMAIN")));
    }

    HttpHost targetHost = new HttpHost((SSL ? "HTTPS" : "HTTP"), SERVER, PORT);
    AuthCache authCache = new BasicAuthCache();
    authCache.put(targetHost, new BasicScheme());

    HttpClientContext context = HttpClientContext.create();
    context.setCredentialsProvider(credsProvider);
    context.setAuthCache(authCache);
    return context;
}

In Zeile 9 baue ich für bestimmte Verbindungen einen credsProvider mit NTCredentials.
In den PatchNotes steht drin ich solle eben dafür auf Basic wechseln, aber irgendwie bin ich zu blöde das um zu setzen. Fakt ist, ohne Domäne schlägt die Anmeldung fehl.
Hatte auch schon sowas probiert:

credsProvider.setCredentials(authScope, new UsernamePasswordCredentials(USERNAME + "@" + DOMAIN, PASSWORD.toCharArray()));

ging aber leider auch nicht.

 

[KonradN]

Also die üblichen beiden Wege, die Domain beim User mit zu geben sind:
user@domain
domain\user

Ersteres hast Du bereits versucht, das zweite wäre noch denkbar und bestimmt einen Versuch wert.

 

[DaBe1812]

Schade, Antwort ist 401 Unauthorized.

Mir fällt einfach nicht ein, wie ich das anders machen kann.

 

[Oneixee5]

ohne Domäne schlägt die Anmeldung fehl

Ja das ist richtig. Die wird benötigt, kann man aber auslesen - bei uns zumindest.
"HTTP" + Authorization.BASIC würde ich nicht tun, eher eine Exception werfen. Authorization.BASIC ist nicht sicher. Selbst die NTCredentials sollte man nicht per "HTTP" verwenden.

String UserDomainName = System.getenv("USERDOMAIN");

 

[DaBe1812]

Die Antwort verwirrt mich. Wir haben so gut wie keine HTTP-Verbindungen mehr. In Produktion definitiv keine mehr und in den PreProd Systemen könnten auch schon alle umgestellt sein.
Die Domain bekomme ich als Parameter aus der Config, weil es nicht zwingend meine gerade verwendete Domain sein muss.
Löst aber nicht mein Problem:
Der Server hätte gerne eine Domain bei der Anmeldung und Apache schmeißt die NTCredentials aus der Version 5.3 raus. Ich bin kein Freund davon jetzt noch nicht nach einer Lösung zu suchen und wenn die 5.2 dann voller Sicherheitslücken ist, da zu stehen und unter Druck eine Lösung zu brauchen.

 

[Oneixee5]

Die Antwort verwirrt mich. Wir haben so gut wie keine HTTP-Verbindungen mehr.

Wozu dann:

SSL ? "HTTPS" : "HTTP"

Offensichtlich wird HTTP immer noch verwendet. Ansonsten hättest du es nicht im Programm.

 

[LimDul]

DOMAIN/user müsste eigentlich korrekt sein.

Wichtig ist - Domain muss komplett in Uppercase sein. Was ich gemacht habe, mir einfach mal den Source-Code angesehen:

https://android.googlesource.com/pl...src/org/apache/http/auth/NTUserPrincipal.java - Da sieht man wie das zusammengebaut wird.

 

[DaBe1812]

@Oneixee5: HTTP wäre noch möglich

Ich habe jetzt die Zeile folgendermaßen angepasst:

} else if(AUTH == Authorization.NT) {
    // credsProvider.setCredentials(authScope, new NTCredentials(USERNAME, PASSWORD.toCharArray() ,null, config.getDomain()));
    credsProvider.setCredentials(authScope, new UsernamePasswordCredentials(config.getDomain().toUpperCase() + "/" + USERNAME, PASSWORD.toCharArray()));
}

Den Rest habe ich nicht geändert.

Leider komme ich trotzdem auf einen 401.

Muss evtl. das AuthScope noch angepasst werden?

 

[LimDul]

Hilft dir das weiter: https://stackoverflow.com/questions/77784888/apache-http-client-5-3-ntcredentials-no-longer-working?

 

[DaBe1812]

Den hatte ich tatsächlich auch gefunden, aber wenn ich das richtig verstehe "reaktiviert" er nur die alten Funktionen, die sind aber deprecated und somit potentiell in einer der nächsten Versionen raus. Außerdem teste ich das Ganze ja aktuell in der 5.2, und wenn es da schon nicht auf andrem Wege funktioniert, dann später in der 5.3 leider auch nicht.

 

[Oneixee5]

Ich habe mich mal etwas schlau gemacht: NTCredentials ist nicht das Problem, nur die Reaktion... NTLM ist von $MS abgekündigt und wird zukünftig nicht mehr unterstützt. Ob überall in Windows weiß ich nicht, es gab wohl für das AD, Mailserver und Proxy eine Info an unseren Betrieb. NTLM gilt als nicht sicher. Du müsstest dich also in die Richtung Kerberos orientieren. Ich verwende da schon seit Jahren Waffle - damit hat man den wenigsten Ärger. In wieweit das ApacheHttpClient unterstützt weiß ich nicht. Das ist mir sowieso zu umständlich, ich nehme da lieber etwas mit höherem Abstraktions-Level.
Ich muss da auch mal ein paar Projekte nach NTLM durchschauen. Die werden immer nur selten gebraucht und sind runter gefahren. Irgend ein Admin fährt die dann für irgendwelche Wahlen hoch und dann geht der Ärger los. Patchen - immer auf den letzten Drücker. Es sind ja bald Europawahlen - da hätte ich schon mal etwas Vorsprung ...