整合式 Windows 驗證(Integrated Windows Authentication, IWA)

整合式 Windows 驗證 (IWA) 包含兩種獨立的驗證機制。第一種是 NTLM (在舊版本的 IIS 中也稱為 NT 挑戰/回應)。NTLM 是 Microsoft 專利技術,從開始到現在已經推出數個版序。NTLM v2 是 NTLM 的最新版本,它會使用複雜的挑戰/回應和雜湊演算法來保護使用者認證的傳輸安全。此通訊協定應該嚴密鎖定,以避免駭客嘗試使用舊有、已知及薄弱的通訊協定,如 NTLM v1。如需如何限制系統只使用 NTLM v2 的資訊,請參閱下文:

<如何啟用 NTLM v2 驗證> (英文)
http://support.microsoft.com/kb/239869/en-us

雖然 NTLM 是專利通訊協定,但已獲得大多數現代瀏覽器的廣泛支援,包括 Firefox、Internet Explorer 和 Opera。NTLM 驗證需要 HTTP 持續作用,否則便無法驗證,而且它無法透過多數的 Proxy 伺服器運作 (因為這些 Proxy 伺服器多半不允許持續作用)。

Kerberos 驗證最初是由麻省理工學院 (MIT) 開發的驗證技術。這是一項健全的驗證機制,利用共用密碼來保護使用者認證的安全,並使用時間戳記來預防轉送攻擊。各種網頁伺服器和多數的用戶端瀏覽器都廣泛支援此機制。IIS 透過交涉授權 HTTP (Negotiate Authorization HTTP) 標頭來實作 Kerberos 驗證。交涉標頭可讓用戶端和伺服器交涉普遍支援的驗證機制。

Kerberos (不同於 NTLM 或摘要式) 可以接受委派,這表示使用者的認證可以流動至遠端服務 (例如 SQL Server)。這是因為 IIS 會應驗證要求呼叫 LogonUser API,如果回應為「是」,則 IIS 便會取得權杖然後繼續進行。只要使用的權限正確,這項作業可說是非常準確且容易委派。下列 TechNet 文件提供了設定委派的資訊:<疑難排解 Kerberos 委派> (英文)。
Post a Comment

Popular posts from this blog

Pairwise Master Key (PMK) vs Parewise Transient Key(PTK) vs PseudoRandom Function(PRF) vs GTK (Groupwise Transient Key)

DSSS(直接序列展頻技術) vs OFDM(正交頻率多重分割)

DTMF Relay : RTP-NTE vs SIP INFO vs SIP NOTIFY