Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

486 Kapitel 17: Schützen von Serveranwendungen
wurde auf jedem Computer ein neues Konto mit dem Namen IUSR_ erstellt,
das eine praktisch zufällige SID hatte. Sie können ein anderes Konto auswählen oder
die Identität des Anwendungspools verwenden. Dies ist das Konto, unter dem der Anwendungspool
der Website ausgeführt wird.
Hinweis Es ist wichtig, dass Sie den Unterschied zwischen der Identität der anonymen Authentifizierung
und der Identität des Anwendungspools kennen. Sie können zwar für beide denselben Wert einstellen, aber
die Identität des Anwendungspools ist der Benutzerkontokontext, in dem die Arbeitsprozesse der Anwendung
ausgeführt werden, während die Identität der anonymen Authentifizierung der Benutzerkontokontext
ist, in dem anonyme Anforderungen auf Websiteressourcen zugreifen.
Wenn Sie ein anderes Konto als IUSR oder die Identität des Anwendungspools verwenden,
kann das nützlich sein, um sicherzustellen, dass eine Site nicht auf die Ressourcen einer
anderen Site verweisen kann, aber weil diese Ressourcen für alle, die diese Site erreichen,
öffentlich zugänglich sind, ist das wahrscheinlich nur nützlich, falls der Server sowohl Intranet-
als auch Internetinhalt hostet und derjenige, der den Inhalt für die Internetsites erstellt,
unter Umständen auf Inhalt der Intranetsite verweisen könnte. In einer solchen Situation
wäre es aber wohl besser, gleich unterschiedliche Server einzusetzen, um die unterschiedlichen
Inhalte zu hosten, wobei der Server mit dem Intranetinhalt hinter einer Firewall steht,
die verhindert, dass Internetverkehr – oder Verkehr aus dem Server, der mit dem Internet
verbunden ist – auf Intranetinhalt zugreift.
Der Abschnitt anonymousAuthentication in der Datei applicationHost.config enthält folgende
Attribute:
enabled ist "true", wenn die anonyme Authentifizierung aktiviert ist, oder "false", wenn
die anonyme Authentifizierung deaktiviert ist.
userName ist der Benutzername, unter dem der Zugriff bei Verwendung der anonymen
Authentifizierung durchgeführt wird.
password ist das Kennwort für den angegebenen Benutzernamen. Es ist mit AES verschlüsselt.
logonMethod gibt die Methode an (ClearText, Network, Interactive oder Batch), mit der
der Benutzer angemeldet wird, dessen Identität angenommen wird. (In der Beschreibung
des Elements virtualDirectory im Abschnitt »Definieren und Einschränken des physischen
Pfads« weiter oben in diesem Kapitel wird logonMethod erklärt.)
Wenn Sie für userName und password leere Zeichenfolgen ("") eintragen, greift der anonyme
Benutzer mithilfe des Benutzerkontextes des Anwendungspools auf die Ressourcen zu. Wie
weiter oben beschrieben, ist es für die Entscheidung, ob Sie die Identität des Anwendungspools,
das Standardkonto IUSR oder ein bestimmtes Benutzerkonto verwenden, wichtig,
welche Berechtigungen die Dateien haben, auf die Sie zugreifen wollen, und ob Sie anonyme
Zugriffe zwischen mehreren Sites voneinander trennen müssen.
Standardauthentifizierung
Bei der Standardauthentifizierung muss der Client seinen Benutzernamen und das zugehörige
Kennwort in der HTTP-Anforderung an den Server senden. Das Kennwort ist zwar mit
Base64-Kodierung verfremdet, aber das nur, um exotische Zeichen im Kennwort übertragen
zu können. Base64 lässt sich leicht erkennen, daher ist die Standardauthentifizierung gleichzusetzen
mit einer Übertragung Ihrer Anmeldeinformationen über das Internet im Klartext.