Защита паролем каталога с помощью дайджест-аутентификации IIS 7

Возможно, это просто мое непонимание предмета, но я надеюсь найти простой ответ.

Я запускаю веб-сервер для собственного использования, по многим причинам, именно поэтому у меня есть доменное имя для ссылки на мою домашнюю сеть.

Я только что развернул Sever 2008 Enterprise благодаря приобретению благотворительной лицензии MS. Это намного лучше, чем IIS 5 на XP, который у меня был раньше.

Я все еще играю с группами и пользователями AD, но сейчас я просто хочу защитить паролем пару папок на веб-стороне этого окна.

Скажем, я захожу на domain.com, без проблем. Мне нужен публичный доступ к нему, и он отлично работает. Но если я перейду на domain.com/private, я хочу, чтобы появилось поле пользователя / пароля. Я добивался этого раньше, используя дешевую программу под названием IISPassword, которая использовала файлы .htaccess / .htpasswd.

Читая о возможностях IIS7, я заинтересовался дайджест-аутентификацией. Зная, что базовая аутентификация будет передавать пароли открытым текстом, я решил, что это будет намного лучший вариант.

Я установил разрешения для папки / private, чтобы отключить все другие методы (anon, basic), и включить дайджест только в IIS MMC. Я не изменял права доступа к папке на уровне NTFS (только группы домена, в IUSR нет записи). Все, что я получаю в ответ при просмотре страницы, - это ошибка 500.

Признаюсь, я все еще новичок в этом уровне администрирования и был бы очень признателен за любую помощь, которую я могу получить, чтобы включить этот уровень защиты. Я был бы в порядке, используя аутентификацию AD, но я думаю, что я все еще застрял в том, «почему я получаю 500 вместо запроса учетных данных»

Спасибо! Джон


iis-7 password-protection windows-server-2008 digest-authentication
person Community    schedule 10.07.2009    source источник
comment
Я попытался включить базовую аутентификацию и аутентификацию Windows ... ни один из них не будет отображать окно аутентификации. Все они выдают ошибку 500 при выключении анонса. Когда включен анонс, независимо от того, какой метод безопасности включен, он просто разрешает доступ без запроса. Я тестирую это вне сети через карту доступа к сотовой сети в моем ноутбуке.   -  person    schedule 10.07.2009

Ответы (3)


arrow_upward
0
arrow_downward

У меня нет для вас 100% ответа, но я задал тот же вопрос. Похоже, он был удален из IIS7 в ИНТЕГРИРОВАННОМ режиме.

Пожалуйста, прочтите ответы в этом посте. Это может вам помочь :)

person Pure.Krome    schedule 10.07.2009
comment
Снова говорю о моем невежестве: я немного знаю HTML ... на самом деле не намного больше. Мой сайт невероятно прост. Я ничего не знаю об ASP / ASP.NET. Я не знаю, где будет этот файл web.config. Придется ли мне устанавливать функции ASP.NET и изучать язык, чтобы это произошло? - person ; 10.07.2009
comment
Спасибо за ответ - я просматриваю подробности о интегрированном режиме. - person ; 10.07.2009
comment
Неа. вам не нужно изучать язык программирования ASP.NET. Все дело в программной настройке. Я также предлагаю вам задать вопрос на www.ServerFault.com (родственный ему сайт об ИТ-приложениях, таких как IIS, Windows и т. Д.). - person Pure.Krome; 10.07.2009

arrow_upward
0
arrow_downward

Спасибо за ваш вклад!

Когда я перенес все заново, я тоже переместил свои страницы с ошибками. После тестирования этого с помощью localhost я обнаружил, что он не допускает абсолютного пути ... Короче говоря, я изменил способ поиска страниц с ошибками 404 и 401, и теперь он не 500 на мне. Проблема остается в том, что он не запрашивает пароль, если я не тестирую его на машине с localhost. Любая другая машина сразу же выкидывает страницу 401.htm.

person Community    schedule 10.07.2009

arrow_upward
0
arrow_downward

Что ж, вы, вероятно, получите много этого, поскольку любой, кто должен реализовать безопасный доступ того или иного типа, будет иметь достаточно атак, так что реализация любой реальной криптографии будет как минимум сложной и потребует значительной работы. (не то чтобы вы не были)

Я рискну предположить, что если у вас благотворительная лицензия MS, это зависит от того, какое ценное свойство вы должны защищать - передача результата сильного дайджеста сообщения такая же, как передача 'pw Ясно, что дайджест сообщений используется для того, чтобы вы храните дайджест сообщений где-то на стороне сервера; таким образом, если Волосатая горилла, Губительный монстр отправит злого близнеца прогуляться по вашей системе, пароли не могут быть восстановлены из Дайджест сообщения.

Даже если весь диск будет потерян в соответствии со стандартным сценарием проформы сбоя в нескольких местах (вместо того, чтобы привлекать внимание, позвольте мне просто сказать вам, что это кошмарный сценарий), то в Big Time Finance World Corp не сработает ни одна серия детекторов мошенничества, .... возможно несколько здесь и там, но без волны или череды событий.

Храните средства в банке, прочтите Закон Сарбейнса-Оксли 2002 года, используйте модель безопасности небольшого магазина и не пытайтесь иметь дело с Twisted Sister, оставьте это кому-нибудь другому. Базовая аутентификация отправляет в открытом виде, это не анализаторы пакетов, о которых вам следует беспокоиться - если это тогда, недавние перерывы в Heartland говорят о том, что только аппаратное шифрование / дешифрование имеет какое-либо применение во враждебных пользовательских областях, недалеко от Алисы в Стране чудес.

Когда я подойду, большинство вещей, которые сейчас ценятся, нас бы побили, сегодня вы получите за это награду.

Прочтите предисловие Вэньбо Мао.

Редактирование сообщения: можете ли вы сказать, откуда взялся 7c6a180b36896a0a8c02787eeafb0e4c? Как и Twisted Twin (!)

Редактирование сообщения:

RFC 2617 - HTTP-аутентификация: базовая и дайджест-аутентификация доступа

RFC 3540 - передача сигналов надежного явного уведомления о перегрузке (ECN) с одноразовыми номерами

RFC 4418 - UMAC: код аутентификации сообщения с использованием универсального хеширования

Что бы вы ни делали, используйте уже известные инструменты.

person Nicholas Jordan    schedule 27.09.2009