我想将我出色的新 ASP.Net 应用程序部署到面向 Internet 的 Web 服务器。我想在互联网上使用 Windows 身份验证，以便 I.E.自动提示输入 Windows 登录凭据。我想确保它足够安全。
与此相关的一些参数是：
所以基本上，如果我启用 IIS Windows 身份验证扩展保护，并且我可以确定没有人被钓鱼，我可以确定这将是安全的吗？
我们的服务器经常遭受攻击 - 我认为早期的一些错误已将其列入“易攻击目标”列表。
【问题讨论】：
标签： security authentication iis
基本上没有。 WindowsAuthentication(blargh) 仅适用于身份验证阶段。也就是说，它取代了您网站的 HTTP-Basic-Auth，并负责检查用户所谓的登录密码是否有效和可接受。当然，这与密码无关。这只是简单的示例。
这么久，这部分可能被认为是安全的。但是，在用户完成登录部分后，他被弹回了目标网页，该网页现在知道了他的身份，并且由于Windows-blargh，该网站知道它没有被欺骗，但是现在用户只是使用页面。
他是怎么做到的？由于您“在这个阶段没有实施 SSL”，他使用纯 HTTP 来浏览网站。这意味着现在所有内容都以明文形式发送，并且很容易窥视或注入/修改某些内容。只要您只使用 HTTP，您就会对某些形式的攻击“开放”，因为 HTTP 不提供 任何 形式的通信保护。这就是为什么大多数需要一些安全性的网站都可以通过 HTTPS，即 SSL 访问。
SSL 实施起来并不难。对于最基本的用途，您只需在 IIS 配置中勾选几个复选框，有时您还需要生成自己的证书。免费。最多需要大约 5 分钟，您就可以启动并运行 SSL，并且没有人偷看也没有人注入。 [当然，除非他们打破钥匙，但这需要时间和决心..]
注意：我说的是WindowsAuthentication-blagh，因为ExtendedProtection这个东西只与实际使用页面之前的WindowsAuthentication过程有关。 “旧”WindowsAuthentication 相对不安全，因此已通过额外的安全手段对其进行修复，以阻止某些形式的攻击。您可能会假设使用 WA+EP 现在其他人不太可能以您的身份登录。但是，它不会保护您的页面内容。 WA 从来没有这样做过，所以 WA+EP 也没有。
这是该主题的基础知识。但是请注意，我不是 Windows-Authentication-blargh 方面的专家。如果启用该功能实际上会打开一些秘密 IIS 模块，该模块会在网站标头中发送一些 PGP 哈希，从而导致 InternetExplorer 打开其他一些读取这些哈希并开始验证网页内容的秘密模块 - 好吧，太棒了，我们在纯 HTTP 中有一些保护。无论如何，它只能在 IE 上工作。但我很怀疑。我几乎可以肯定 Win-Auth 仅与 auth 阶段有关，与连接安全无关。
【讨论】：