Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Authentifizierung und Autorisierung 493
authPersistSingleRequest können Sie auf "false" (Standardwert) setzen, um die Authentifizierung
über mehrere Anforderungen innerhalb einer einzigen Sitzung aufrechtzuerhalten.
Ist es auf "true" gesetzt, ist bei jeder Anforderung eine erneute Authentifizierung
erforderlich, sogar innerhalb derselben Browsersitzung. Wenn Sie dieses Attribut
auf irgendeinen anderen Wert als die Standardeinstellung "false" setzen, produzieren Sie
damit im Allgemeinen mehr Verärgerung als Sicherheit.
authPersistNonNTLM können Sie auf "false" (Standardwert) setzen, um Nicht-NTLM-
Token (zum Beispiel Kerberos) über mehrere aufeinanderfolgende Anforderungen
innerhalb derselben Sitzung beizubehalten. Mit "true" ist bei jeder Anforderung eine
erneute Authentifizierung notwendig.
useKernelMode können Sie auf "true" (Standardwert) setzen, falls die Authentifizierung
im Kernmodus ausgeführt werden soll, andernfalls auf "false".
providers ist eine Auflistung, in der Sie Elemente hinzufügen, einzelne Elemente oder
alle Elemente löschen können. Jedes Element in der Auflistung hat ein Attribut namens
value, das die Zeichenfolge "Kerberos" oder "NTLM" haben kann. Dies ist die Liste der
Anbieter, die benutzt werden, um Protokolle mit dem Client auszuhandeln.
Dem Server vertrauen
Wir haben jetzt verschiedene Möglichkeiten beschrieben, wie der Server den Clientbrowser
und den Benutzer, der daran angeblich arbeitet, identifizieren (und somit unter Umständen
vertrauen) kann. Da ist es nur fair, dass wir uns auch ansehen, wie der Benutzer am anderen
Ende des Clientbrowsers feststellen kann, ob Ihr Server sein Vertrauen verdient.
Wer wurde zum Beispiel noch nie von seiner Bank angerufen? »Herr Mustermann, hier ist
die Contoso-Bank. Ich rufe an wegen einer Abbuchung, die gerade von Ihrer Kreditkarte
vorgenommen wurde.« Sind Sie sicher, dass die Person, die Sie anruft, tatsächlich bei Ihrer
Bank arbeitet? Wenn Sie die Bank anrufen, wie können Sie dann sicher sein, dass Sie mit
der richtigen Nummer verbunden sind? Was ist, wenn Sie sich verwählt haben oder Ihr Telefongespräch
umgeleitet wurde?
In der realen Welt haben wir nur wenige, oft gar keine Lösungen zur Verfügung, um dieses
Problem zu lösen. Glücklicherweise ist es in der Welt des Webs mithilfe von SSL (Secure
Sockets Layer) und TLS (Secure Sockets Layer) möglich, die Organisation zu identifizieren,
mit der Sie tatsächlich verbunden sind.
Hinweis Sie fragen sich möglicherweise, wo der Unterschied zwischen SSL und TLS liegt. TLS ist ein
Nachfolger von SSL, der nicht nur einige Bugs beseitigt, sondern das Protokoll auch aus dem proprietären
Status herausholt und zu einem vollständig öffentlichen und veröffentlichten IETF-Standard macht. Aus
Gründen der Bequemlichkeit fasse ich beide im Folgenden unter der Bezeichnung SSL zusammen, was
auch allgemein üblich ist.
SSL stellt einige grundlegende Anforderungen, die in praktisch allen Umgebungen erfüllt
werden, sofern sie keine völlig absurde Sicherheitskonfiguration haben:
SSL-Verkehr wird verschlüsselt und führt eine Integritätsprüfung aus.
Eine SSL-Verbindung verwendet Zertifikate (siehe Kapitel 10, »Implementieren der
Active Directory-Zertifikatdienste«), um den Server gegenüber dem Client eindeutig zu
identifizieren.