Это то, на что я так и не смог ответить так, как мне нравится: Каково реальное преимущество использования аутентификации Kerberos в IIS вместо NTLM?
Я видел, как многие люди действительно боролись за его настройку (включая меня), и я не смог найти вескую причину для его использования. Там должно быть несколько довольно существенных преимуществ, в противном случае это не стоило бы всех усилий, чтобы настроить его, верно?
Ответы:
Только с точки зрения Windows:
MaxConcurrentAPI, AuthPersistSingleRequest(лжи) ., Быстрее РС) ( Само- референциальный бонус .)lmcompatibilitylevel)может быть в состоянии пройти через прокси, но см. пункт DC выше: вам все еще нужно быть в той же сети, что и активный DC, так же как и сервер .
Билет является долгоживущим (10 часов), что означает меньшую связь по постоянному току в течение срока действия билета - и следует подчеркнуть: это может сэкономить от тысячи до миллионов запросов на клиента в течение этого срока - ( AuthPersistNonNTLMэто все еще вещь; валидация Kerberos PAC раньше была одной вещью)
UserAдоступ к IIS и использовать ту же учетную запись пользователя, когда IIS обращается к SQL Server, это «делегирование проверки подлинности».KRB_ERR_AP_MODIFIED)Пока мы на этом:
LogonTypeнастройка для достижения этой цели (думаю, что значение по умолчанию было изменено на открытый текст сети в период между 2000 и 2003 годами, но может быть ошибочным)Подводить итоги:
Ограничение может быть сложно настроить, но есть множество руководств ( мое ), которые пытаются упростить процесс, и инструменты значительно улучшились с 2003 по 2008 год ( SetSPNможно искать дубликаты, что является наиболее распространенной критической проблемой). ; используйте вSETSPN -S любое время, когда увидите руководство по использованию -A, и жизнь станет счастливее).
Ограниченное делегирование стоит затрат на вход.
Другой подход заключается в том, чтобы установить аутентификацию negotiateи использовать оба вместо одного вместо другого.
Из Microsoft Application Verifier , которая обнаруживает распространенные ошибки разработчика. Одной из таких ошибок является использование NTLM :
NTLM - это устаревший протокол аутентификации с недостатками, которые могут поставить под угрозу безопасность приложений и операционной системы. Наиболее важным недостатком является отсутствие проверки подлинности сервера, что может позволить злоумышленнику обманом заставить пользователей подключиться к поддельному серверу. Как следствие отсутствия аутентификации на сервере, приложения, использующие NTLM, также могут быть уязвимы к типу атаки, известной как атака «отражения». Последнее позволяет злоумышленнику перехватить сеанс аутентификации пользователя на легитимном сервере и использовать его для аутентификации злоумышленника на компьютере пользователя. Уязвимости NTLM и способы их использования являются целью увеличения исследовательской активности в сообществе безопасности.
Хотя Kerberos был доступен в течение многих лет, многие приложения все еще написаны для использования только NTLM. Это излишне снижает безопасность приложений. Однако Kerberos не может заменить NTLM во всех сценариях - главным образом в тех, где клиент должен пройти аутентификацию в системах, которые не присоединены к домену (домашняя сеть, возможно, является наиболее распространенной из них). Пакет безопасности Negotiate обеспечивает обратно-совместимый компромисс, который использует Kerberos всякий раз, когда это возможно, и возвращается к NTLM только тогда, когда нет другой возможности. Переключение кода для использования Negotiate вместо NTLM значительно повысит безопасность для наших клиентов, в то же время практически не применяя совместимость приложений. Переговоры сами по себе не являются «серебряной пулей» - бывают случаи, когда злоумышленник может принудительно перейти на NTLM, но их значительно труднее использовать. Однако одно немедленное улучшение заключается в том, что приложения, написанные для правильного использования Negotiate, автоматически защищены от атак отражения NTLM.
В качестве последнего слова предостережения относительно использования NTLM: в будущих версиях Windows будет возможно отключить использование NTLM в операционной системе. Если приложения имеют жесткую зависимость от NTLM, они просто не смогут аутентифицироваться, когда NTLM отключен.
Вы должны добавить очень важный момент:
Kerberos был стандартным и открытым протоколом в Unix более 20 лет, тогда как NTLM является чисто проприетарным решением от Microsoft и известно только Microsoft.
Kerberos требуется, если вам нужно выдать себя за пользователя, чтобы получить доступ к ресурсам, которых нет на сервере iis.