Экстрасеть с интегрированной аутентификацией Windows
Возможно ли, безопасно и практично ли использовать встроенную безопасность Windows в экстрасети?
Например, в интрасети есть веб-сайт IIS, который можно использовать по локальной сети со встроенной аутентификацией. Когда пользователь отключается от локальной сети, он хочет иметь возможность использовать браузер на своей записной книжке, присоединенной к домену, для подключения к тому же веб-сайту через Интернет (без VPN) без необходимости отдельного входа в систему.
3 ответа
Да, безусловно, можно использовать встроенную безопасность. Но это также зависит от структуры, которую вы используете для аутентификации. В ASP.NET вы можете использовать встроенный модуль аутентификации. Вы должны установить режим аутентификации "Windows", и.Net будет управлять им за вас. Вы также можете иметь разные роли для управления различными типами пользователей в вашем веб-приложении. Ваше веб-приложение должно быть доступно за пределами вашей локальной сети (т. Е. Ваш брандмауэр не должен блокировать входящие HTTP-запросы)
Vamyip
Вопрос о том, является ли это "безопасным", - это вопрос о том, каким дополнительным угрозам безопасности вы подвергаете пользователя в сценарии Интернета, которым они не подвергались в сценарии интрасети. Кроме того, вы подвергаете сервер дополнительным угрозам безопасности - и предполагаете, что вопрос заключается не в том, "разрешить ли доступ к серверу из Интернета", а в том, "какие методы аутентификации мы должны разрешить для этого сервера, который теперь подвергается воздействию". - Интернет ", этот вторичный вопрос сводится к" лучше ли использовать встроенные протоколы аутентификации Windows или требовать использования базовых, дайджестных или цифровых сертификатов "?
Угрозы безопасности для пользователя / клиента: достаточно ли защищены учетные данные пользователя от злоумышленников, которые "извлекают их из сети"? Интегрированная в Windows аутентификация использует либо NTLM, либо Kerberos; в сценариях экстрасети пользователь / клиент обычно не может полагаться на Kerberos, так как для этого потребуется прозрачный доступ к KDC (т.е. контроллеру домена Active Directory) из Интернета. Хотя это и можно сделать, необычно, что организация, которая заботится о безопасности, допускает это. Итак, мы говорим о NTLM - который хэширует пароль пользователя с "nonce" (случайным набором символов), отправляемым с сервера, чтобы пароль пользователя не появлялся в текстовом виде по проводам. Сравните NTLM с Basic, и это явный выигрыш; сравнить NTLM с дайджест-проверкой подлинности, и это несколько эквивалентно; сравните NTLM с аутентификацией сертификата клиента, и сертификаты всегда выигрывают в плане безопасности (но проигрывают в задачах развертывания / начальной загрузки). Как правило, вы обнаружите, что ваши администраторы безопасности или сервера захотят использовать SSL-сертификат для прослушивателя IIS, который подключен к Интернету, чтобы учетные данные пользователя были еще более защищены от "снифферов". SSL вряд ли совершенен и не защищает от более изощренных злоумышленников в середине (или кого-то, у кого есть троян / бот на клиентском устройстве), но он стоит очень мало для дополнительного уровня спокойствия. SSL + NTLM - разумный выбор, сделанный многими.
Угрозы безопасности для сервера: сервер подвергается неавторизованным злоумышленникам, пытающимся получить доступ к аутентифицированным ресурсам. Если сервер допускает какие - либо протоколы аутентификации с проверкой подлинности AD, то он одинаково восприимчив (или нет) к атакам, пытающимся перебором пароля пользователя, и рекомендуется какое-то решение IDS, которое вызывает тревожные звонки для повторных попыток ввода неверного пароля (но довольно задача снижения отношения сигнал / шум до приемлемых уровней). Сервер также подвержен возможности того, что любые уязвимые дыры (в основном в IIS или что-либо еще, открываемое через брандмауэр) могут быть использованы для получения привилегированного доступа к серверу внешним злоумышленником. Лучше быть готовым к частым исправлениям. Возможны и другие менее вероятные, но пугающие угрозы безопасности, но в первую очередь они должны быть решены.
Как указывает ParanoidMike, выставляя веб-приложение в Интернете, использующее проверку подлинности Windows, вы создаете вектор атаки грубой силы для хакеров. Чтобы попытаться смягчить эту угрозу, вы должны рассмотреть следующие действия:
- Ограничить доступ по IP-адресу
- Установите Учетные записи на Блокировка после n неудачных попыток входа.
- Учетные записи администратора не могут быть заблокированы, поэтому выберите для них непонятные имена пользователей.
Я в настоящее время расследую, возможно ли исключить учетные записи администраторов все вместе