Аутентификация

В данной лекции описываются следующие основные типы аутентификации IIS.

• Анонимная аутентификация.
• Базовая аутентификация.
• Аналитическая и дополнительная аналитическая аутентификация.
• Интегрированная аутентификация Windows.
• Аутентификация при помощи .NET Passport.

Анонимная аутентификация

Анонимная аутентификация открывает пользователям доступ к веб-сайтам и FTP-сайтам без предоставления имени пользователя и пароля. При доступе клиента к веб- или FTP-сайту IIS использует для аутентификации учетную запись Guest Account (Гостевая учетная запись интернета). Гостевая учетная запись интернета создается в процессе установки IIS и называется IUSR_<имя-компьютера>, где <имя_компьютера> – имя главного компьютера. Использование учетной записи анонимного доступа позволяет указывать, к каким ресурсам осуществляют доступ на данном сервере анонимные пользователи. При установке IIS в группу Guests (Гости) добавляется анонимная учетная запись, поэтому любые ограничения или разрешения для этой группы применимы и к этой учетной записи.

При получении IIS запроса вначале выполняется автоматическая анонимная аутентификация. Если анонимная аутентификация не дает результата, то осуществляется попытка входа пользователя в систему с использованием другого метода. Если другие методы аутентификации недоступны, то IIS передает клиенту сообщение об ошибке HTTP "403 Access Denied" ("403 Доступ запрещен").

Методы входа в систему

Одним из кардинальных изменений в функционировании анонимного доступа является то, что произошла смена метода входа по умолчанию – с INTERACTIVE на NETWORK_CLEARTEXT. Раньше каждой учетной записи пользователя для доступа к IIS требовалось право Log On Locally (Осуществлять локальный вход в систему). Теперь, когда по умолчанию используется NETWORK_CLEARTEXT, этого больше не требуется, что снижает степень уязвимости, связанную с большим числом прав IIS.

В IIS используются четыре основные категории аутентификации.

• INTERACTIVE (Интерактивная).
• BATCH (Пакетная).
• NETWORK (Сетевая).
• SERVICE (Служба).

NETWORK_CLEARTEXT является разновидностью аутентификации NETWORK и используется по умолчанию в базовой аутентификации.

Подаутентификация в IIS

Если вы работали с IIS 5, то, вероятно, заметили, что в IIS 6 отсутствует поддержка автоматической синхронизации паролей. Автоматическая синхронизация паролей позволяла IIS контролировать пароль любой учетной записи, используемой для анонимного доступа. Очевидно, что это являлось угрозой безопасности, поскольку соответствующая динамически подсоединяемая библиотека ( IISSUBA.DLL ) могла быть использована для изменения пароля любой учетной записи. В IIS 6 такая возможность отключена по умолчанию. Тем не менее, при необходимости ее можно включить, но только в том случае, если учетная запись отвечает следующим критериям:

• рабочий процесс, настроенный для приложения, выполняется как LocalSystem (Локальная система), а не Network Service (Сетевая служба);
• IISSUBA.DLL зарегистрирована как компонент COM (использовать rundll32 );
• включен параметр метабазы AnonymuosPasswordSynch.

Ни один из этих пунктов не соответствует первоначальной конфигурации IIS 6. Если первоначальная конфигурация не используется, то обнаружатся следующие факты.

При использовании режима изоляции IIS 5.0 внутрипроцессные приложения будут выполняться как LocalSystem.

Если операционная система Windows 2000 с IIS 5 обновлена до Windows Server 2003 (WS03) с IIS 6, и на веб-сайте IIS 5 включена автоматическая синхронизация паролей, то параметр метабазы AnonymousPasswordSynch будет установлен, однако вручную нужно будет внести два оставшихся изменения.