Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

490 Kapitel 17: Schützen von Serveranwendungen
Digestauthentifizierung
Bei der Digestauthentifizierung stellt der Client einen Benutzernamen sowie einen Hashwert
bereit, der aus dem Kennwort des Benutzers und einigen zufälligen Daten generiert wird.
Wie die Standardauthentifizierung wird die Digestauthentifizierung von vielen Browsern
unterstützt und ist in RFC 2617 (Request für Comment) als Internetstandard definiert. Der
Standard legt fest, wie der Hashwert aus dem Kennwort und zufälligen Daten (die sogenannte
Nonce) generiert wird. Der Nonce-Wert wird dabei in der Frage angegeben, die der Server
als Antwort auf die anfängliche anonyme Anforderung des Clients zurücksendet.
Weil das Kennwort bei dieser Authentifizierungsmethode nicht gesendet wird und die Nonce
Schutz gegen Replay-Angriffe bietet, ist die Digestauthentifizierungsmethode der weiter
oben beschriebenen Standardauthentifizierungsmethode vorzuziehen.
Sie können die Digestauthentifizierung leicht über die Benutzeroberfläche aktivieren, wenn
Sie das Modul DigestAuthenticationModule aktiviert haben. Der einzige Konfigurationsparameter
für Digestauthentifizierung ist realm. Dies ist der Text, der dem Client in der Eingabeaufforderung
angezeigt wird, wenn er nach Benutzername und Kennwort gefragt wird.
Beachten Sie, dass dieser realm-Wert dem Domänennamen entsprechen soll, in dem die
Kennwörter der Benutzer überprüft werden.
Die Konfiguration für Digestauthentifizierung liegt im folgenden Abschnitt der XML-Datei
applicationHost.config:
In diesem Abschnitt gibt es zwei Elemente:
enabled hat den Wert "true", wenn die Digestauthentifizierung aktiviert ist, andernfalls
"false".
realm ist der Name des Bereichs, nach dem in der Eingabeaufforderung des Clients gefragt
wird. Dies muss dem Domänennamen entsprechen, damit der Digest generiert werden
kann, der dem auf dem Domänencontroller gespeicherten Hashwert entspricht.
Weitere Informationen über Digestauthentifizierung finden Sie in Kapitel 4, »Grundlagen
der Benutzerkontensteuerung«.
ASP.NET-Identitätswechsel
ASP.NET-Identitätswechsel ist eine Möglichkeit, die Authentifizierung zu nutzen, die in
einer Verbindung zu einer ASP.NET-Anwendung vorhanden ist. Wenn ASP.NET-Identitätswechsel
deaktiviert ist, läuft eine ASP.NET-Anwendung im selben Benutzerkontext wie ihr
Anwendungspool. Wenn Sie ASP.NET-Identitätswechsel aktivieren, können Sie entweder
festlegen, dass immer die Identität eines bestimmten Benutzerkontextes angenommen wird
oder die Identität des Windows-Benutzers, der authentifiziert wurde (über Standardauthentifizierung,
Digest, Clientzertifikat oder sogar anonyme Authentifizierung).
Sie können ASP.NET-Identitätswechsel aktivieren und konfigurieren, indem Sie das Element
im folgenden Abschnitt der Web.config-Datei von Anwendung oder Website editieren: