代码之家 › 专栏 › 技术社区 › laktak

具有集成Windows身份验证的Extranet

extranet integrated-security iis windows

1

laktak · 技术社区 · 14 年前

在外联网上使用Windows集成安全性是否可能、安全和实用?

例如,内联网上有一个IIS网站,可以在局域网上使用,并具有集成身份验证。当用户从局域网断开连接时,他希望能够使用其加入域的笔记本上的浏览器通过internet(无VPN)连接到同一个网站,而无需单独登录。

3 回复 | 直到 14 年前

1

0

vamyip 14 年前

是的,使用集成安全性是绝对可能的。但是,这也取决于用于身份验证的框架。在ASP.NET中,您可以使用内置的身份验证模块。您可以将身份验证模式设置为“Windows”,而.Net将为您管理它。您还可以使用不同的角色来管理web应用中不同类型的用户。您的web应用必须在局域网外可用(即防火墙不应阻止传入的HTTP请求)

瓦米普

2

4

ParanoidMike 14 年前

它是否“安全”的问题是,在Internet场景中,您向用户暴露了哪些其他安全威胁,而在Intranet场景中用户没有暴露这些威胁。此外,您是否将服务器暴露于其他安全威胁中?假设问题不是“是否允许从Internet访问服务器”,而是“我们应该为现在暴露于Internet的服务器允许哪些身份验证方法”,第二个问题归结为“使用Windows集成身份验证协议更好还是需要使用基本、摘要或数字证书更好”?

更多防止“嗅探者”。SSL很难做到完美,也不能抵御更复杂的中间攻击者(或者客户端设备上有特洛伊木马/bot的人),但它的成本非常低,可以让人心平气和。SSL+NTLM是许多人做出的合理选择。

对服务器的安全威胁:服务器暴露给试图访问经过身份验证的资源的未经授权的攻击者。如果服务器允许 AD认证的身份验证协议同样容易(或不容易)受到试图强行输入用户密码的攻击,某种IDS解决方案为重复的错误密码尝试敲响警钟是可取的(但要将信号/噪声比降低到可管理的水平是一个相当大的挑战)。服务器还可能存在任何可利用的漏洞(主要是在IIS中,或通过防火墙暴露的任何其他漏洞)被外部攻击者用来获得对服务器的特权访问。最好做好经常修补的准备。其他不太可能但听起来很可怕的安全威胁是可能的,但这是首先要解决的重大威胁。

3

0

Charlie Barker 13 年前

正如ParanoidMike指出的,通过将Web应用程序暴露在使用Windows身份验证的Internet上,你正在创建一个黑客攻击力攻击向量。为了尝试减轻这种威胁,您应该考虑采取以下措施:

将帐户设置为在n次登录尝试失败后锁定。
无法将管理员帐户设置为锁定,因此请为其选择模糊的用户名。