Аутентификация

Базовая аутентификация

Наиболее широко используется базовая аутентификация. Поскольку вся информация представляется и передается в открытом виде, данный метод аутентификации прост для обеспечения несложных программных взаимодействий. Но в этом случае пароли будут раскрыты быстрее, чем вы произнесете: "Угроза безопасности".

Компоненты веб-сервера и FTP-сервера поддерживают базовую аутентификацию. Она работает в IIS следующим образом.

1. Пользователь вводит имя и пароль для аутентификации.
2. Браузер выполняет 64-разрядное кодирование пароля и передает его на сервер.
3. IIS проверяет правильность имени пользователя и пароля и предоставляет доступ к ресурсам.

Довольно просто, не правда ли? Поскольку базовая аутентификация встроена в спецификацию HTTP, большая часть веб-браузеров ее поддерживает, что весьма полезно при работе с браузерами не от Microsoft. Проблему, связанную с передачей пароля в открытом виде, можно обойти, используя протокол защищенных сокетов (SSL) для шифрования всего трафика при передаче через сеть.

Браузеры Internet Explorer версии 2.0 и выше перед использованием базовой аутентификации пытаются выполнить интегрированную аутентификацию Windows.

Маркеры доступа базовой аутентификации

Для входа в систему с использованием базовой аутентификации IIS выполняет кэширование. При входе на сервер Windows создается маркер доступа со всеми идентификаторами SID для всех групп, членом которых является входящее лицо. Данный маркер доступа хранится в кэш-памяти, и IIS использует его при разрешении доступа к объектам; при этом IIS не проводит аутентификацию при каждом обращении пользователя к объекту. Несмотря на повышение производительности IIS, данная функция представляет собой угрозу безопасности, поскольку злоумышленник может получить доступ к маркеру в кэше доступа, перед тем как кэш от него избавится. По умолчанию время жизни (TTL) маркера равно 900 с. Этот риск можно уменьшить следующим образом.

• Не осуществляйте вход в систему посредством базовой аутентификации с учетной записью пользователя, обладающей повышенными правами, особенно администраторскими.
• Уменьшите значение параметра UserTokenTTL в реестре, чтобы маркер доступа быстрее становился недействительным. Установите этот параметр равным 0, чтобы вовсе отключить кэширование маркеров доступа.
• Отсутствие кэширования маркеров доступа вызовет снижение производительности. Необходимо сопоставить этот факт с потребностью в учетных записях Administrator (Администратор) для доступа к серверу.

Учетные записи пользователей и базовая аутентификация

Для использования базовой аутентификации учетная запись пользователя должна быть определена либо на локальном компьютере, либо на доверенном контроллере домена. Контроль доступа, осуществляемый учетной записью, обеспечивается посредством разрешений файловой системы NTFS. Щелкните правой кнопкой на объекте в левой части консоли IIS MMC и выберите команду Properties (Свойства). В области Authentication And Access Control (Аутентификация и контроль доступа) вкладки Directory Security (Безопасность каталога) окна Properties (Свойства) нажмите на кнопку Edit (Изменить). Затем укажите тип используемой аутентификации, а также домен по умолчанию (если компьютер является членом домена). Можно указать и область, но это поле не играет особой роли на сервере, оно лишь отображает указанное значение клиенту при появлении окна входа в систему.