Đây là điều mà tôi chưa bao giờ thực sự có thể trả lời cũng như tôi thích: lợi thế thực sự của việc sử dụng xác thực Kerberos trong IIS thay vì NTLM là gì?
Tôi đã thấy rất nhiều người thực sự đấu tranh để thiết lập nó (bao gồm cả bản thân tôi) và tôi đã không thể đưa ra một lý do chính đáng để sử dụng nó. Phải có một số lợi thế khá quan trọng, nếu không, nó sẽ không đáng để bạn phải thiết lập nó, phải không?
Câu trả lời:
Từ góc độ Windows chỉ:
MaxConcurrentAPI, AuthPersistSingleRequest(sai) , DC nhanh hơn.) ( Tự- tiền thưởng tham khảo .)lmcompatibilitylevel)có thể có thể duyệt qua proxy, nhưng xem điểm DC ở trên: bạn vẫn cần ở trên cùng một mạng với DC hoạt động, cũng như máy chủ .
vé tồn tại lâu (10h) có nghĩa là giao tiếp DC ít hơn trong suốt thời gian bán vé - và nhấn mạnh: điều này có thể tiết kiệm hàng ngàn đến hàng triệu yêu cầu cho mỗi khách hàng trong suốt cuộc đời đó - ( AuthPersistNonNTLMvẫn là một điều; xác thực Kerberos PAC từng là một điều)
UserAtruy cập IIS và sử dụng cùng một tài khoản người dùng khi IIS truy cập SQL Server, đây là "ủy quyền xác thực".KRB_ERR_AP_MODIFIED)Trong khi chúng tôi đang ở đó:
LogonTypeđược cấu hình để thực hiện điều này (nghĩ rằng mặc định đã thay đổi thành Cleartext mạng từ năm 2000 đến 2003, nhưng có thể bị đánh giá sai)Tóm lại:
Curb có thể khó cài đặt, nhưng có rất nhiều hướng dẫn ( một trong số đó ) cố gắng đơn giản hóa quy trình và các công cụ đã được cải thiện rất nhiều từ năm 2003 đến 2008 ( SetSPNcó thể tìm kiếm các bản sao, đây là vấn đề vi phạm phổ biến nhất ; sử dụngSETSPN -S bất cứ lúc nào bạn thấy hướng dẫn sử dụng -A, và cuộc sống sẽ hạnh phúc hơn).
Đoàn hạn chế là giá trị nhập học.
Một cách tiếp cận khác là đặt xác thực negotiatevà sử dụng cả hai thay vì một thay vì cách khác.
Từ Trình xác minh ứng dụng Microsoft , phát hiện các lỗi phổ biến của nhà phát triển. Một trong những sai lầm đó là việc sử dụng NTLM :
NTLM là một giao thức xác thực lỗi thời với các lỗ hổng có khả năng ảnh hưởng đến bảo mật của các ứng dụng và hệ điều hành. Thiếu sót quan trọng nhất là thiếu xác thực máy chủ, có thể cho phép kẻ tấn công lừa người dùng kết nối với máy chủ giả mạo. Là một hệ quả của việc xác thực máy chủ bị thiếu, các ứng dụng sử dụng NTLM cũng có thể dễ bị tấn công bởi một loại tấn công được gọi là tấn công phản xạ Hồi giáo. Cái sau này cho phép kẻ tấn công chiếm quyền điều khiển cuộc trò chuyện xác thực của người dùng đến một máy chủ hợp pháp và sử dụng nó để xác thực kẻ tấn công vào máy tính của người dùng. Các lỗ hổng và cách khai thác chúng của NTLM là mục tiêu của hoạt động nghiên cứu trong cộng đồng bảo mật.
Mặc dù Kerberos đã có sẵn trong nhiều năm, nhiều ứng dụng vẫn được viết để chỉ sử dụng NTLM. Điều này không cần thiết làm giảm tính bảo mật của các ứng dụng. Tuy nhiên, Kerberos không thể thay thế NTLM trong tất cả các kịch bản - chủ yếu là những nơi mà khách hàng cần xác thực với các hệ thống không được kết nối với một miền (mạng gia đình có lẽ là phổ biến nhất trong số này). Gói bảo mật đàm phán cho phép thỏa hiệp tương thích ngược sử dụng Kerberos bất cứ khi nào có thể và chỉ hoàn nguyên về NTLM khi không có tùy chọn nào khác. Chuyển đổi mã để sử dụng Đàm phán thay vì NTLM sẽ tăng đáng kể bảo mật cho khách hàng của chúng tôi trong khi giới thiệu một vài hoặc không có tính tương thích ứng dụng. Đàm phán tự nó không phải là một viên đạn bạc - có những trường hợp kẻ tấn công có thể buộc hạ cấp xuống NTLM nhưng những điều này khó khai thác hơn đáng kể. Tuy nhiên, một cải tiến ngay lập tức là các ứng dụng được viết để sử dụng đàm phán chính xác sẽ tự động miễn nhiễm với các cuộc tấn công phản chiếu NTLM.
Bằng cách thận trọng cuối cùng đối với việc sử dụng NTLM: trong các phiên bản Windows trong tương lai, có thể vô hiệu hóa việc sử dụng NTLM tại hệ điều hành. Nếu các ứng dụng có sự phụ thuộc lớn vào NTLM, đơn giản là chúng sẽ không xác thực được khi NTLM bị tắt.
Bạn nên thêm một điểm rất quan trọng:
Kerberos đã là giao thức chuẩn và mở trong Unix hơn 20 năm trong khi NTLM là một giải pháp hoàn toàn độc quyền từ Microsoft và chỉ được biết đến với Microsoft.
Kerberos là bắt buộc nếu bạn cần mạo danh người dùng để truy cập các tài nguyên không có trên máy chủ iis.