Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Authentifizierung und Autorisierung 487
Sie sollten die Standardauthentifizierung nicht für Websites verwenden, die an das Protokoll
HTTP gebunden sind, weil dann Anmeldeinformationen der Domänenebene im Klartext
zwischen Browser und Server übertragen werden. Verwenden Sie HTTPS für alle Seiten,
die Standardauthentifizierung benutzen. Auf Clients innerhalb einer Domäne können Sie
verhindern, dass Standardauthentifizierung vom Internet Explorer in Nicht-HTTPS-Sites
verwendet wird. Dazu können Sie mithilfe von Gruppenrichtlinien den folgenden Registrierungswert
als DWORD mit dem Wert 1 auf den Clientcomputern eintragen:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\
DisableBasicOverClearChannel
Folgende Einstellungen stehen für Standardauthentifizierung unter dem Abschnitt basic-
Authentication in applicationHost.config zur Verfügung:
enabled ist entweder "true" oder "false" und legt fest, ob die Standardauthentifizierung
aktiviert ist.
realm ist normalerweise der Name der Domäne, auf die Sie Benutzer zugreifen lassen.
Das braucht kein echter Domänenname zu sein, es ist einfach der Text, der im Dialogfeld
angezeigt wird, in dem die Benutzer ihre Anmeldeinformationen eingeben.
defaultLogonDomain ist die Domäne, bei der die Authentifizierung durchgeführt wird,
falls der Browser im Benutzernamen keinen Domänennamen übergibt.
logonMethod kann einer der folgende Werte sein (wie bei den anderen logonMethod-
Elementen): ClearText, Network, Interactive oder Batch.
Clientzertifikatzuordnung
Clientzertifikatzuordnung steht nur auf HTTPS-Verbindungen zur Verfügung, weil der
Client dabei Zertifikatinformationen mit dem Server austauschen muss, wenn er eine neue
SSL/TLS-Verbindung aufbaut.
Es gibt drei Typen von Clientzertifikatzuordnung: 1:1, 1:n und Active Directory. Alle
Clientzertifikatzuordnungstypen erfordern das Modul CertificateMappingAuthentication-
Module.
1:1-Clientzertifikatzuordnung
Wie der Name andeutet, wird bei der 1:1-Zuordnung jedes Clientzertifikat, das der Server
als gültig anerkennt, genau einem Benutzerkonto zugeordnet. (Ein Zertifikat ist gültig, wenn
die Zertifikatkette bis zu einer vertrauenswürdigen Stammzertifizierungsstelle führt und das
Zertifikat einem entspricht, das in der Sitekonfiguration angegeben ist.)
Weil das Zertifikat einen eindeutigen Schlüssel für die Liste der Zuordnungen bildet, können
mehrere Zertifikate demselben Benutzerkonto und Kennwort zugeordnet werden. Die 1:1-
Clientzertifikatzuordnung wird von der folgenden Konfigurationseinstellung in der XML-
Datei applicationHost.config gesteuert: