15.2. Предложение выбрать схему установления подлинност
HTTP/1.1 сервер может возвратиться, множественные требования с 401 (Аутентифицируют) ответ, и каждое требование может использовать другую схему. Порядок требований, возвращенных к user agent, находится в порядке, что сервер предпочел бы их быть выбранным. Сервер должен заказать свои требования с "самой безопасной" схемой аутентификации сначала. user agent должен хотеть как требование быть сделанным пользователю первым, который понимает user agent.
Когда сервер предлагает варианты схем аутентификации, используя заголовок WWW-Authenticate, "безопасность" идентификации только, поскольку опасный пользователь мог фиксировать набор требований и попытаться аутентифицировать себя, используя самые слабые из схем аутентификации. Таким образом, упорядочение служит больше, чтобы защитить credentials пользователя чем информация сервера.
Возможный "человек в середине" (MITM), атака должна была бы добавить слабую схему аутентификации к набору вариантов, надеясь, что клиент будет использовать тот, который предоставляет credentials пользователя (например пароль). Поэтому клиент должен всегда использовать самую сильную схему, которую он понимает от принятых вариантов.
Еще лучшая атака MITM должна была бы удалить все предлагаемые варианты, и вставлять требование, которое запрашивает аутентификацию Basic. Поэтому пользовательские агенты, которые обеспокоены этим видом атаки, могли помнить самую сильную схему аутентификации, которую когда-либо запрашивает сервер, и создать предупреждающее сообщение, которое требует пользовательского подтверждения перед использованием более слабого. Особенно коварный способ предпринять такую атаку MITM состоял бы в том, чтобы предложить "бесплатное" обслуживание кэширования на прокси-сервере легковерным пользователям.