Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Authentifizierung und Autorisierung 495
Wenn die Bindung vorhanden ist, müssen Sie das Zertifikat zur Konfiguration des
HTTP.SYS-Treibers hinzufügen. Geben Sie dazu den folgenden netsh-Befehl ein:
netsh http add sslcert ipport=0.0.0.0:443 certhash=Fingerabdruck appid={4dc3e181-e14b-4a21-
b022-59fc669b0914}
Der ipport-Wert 0.0.0.0:443 stimmt mit der Bindung *:443: überein.
thumbprint muss den Hexadezimalwert für den Fingerabdruck des Zertifikats angeben.
Diesen Fingerabdruck können Sie sich in den Eigenschaften des Zertifikats im Snap-In
Zertifikate ansehen.
Der HTTP.SYS-Treiber greift nur auf Zertifikate im lokalen Computerzertifikatspeicher zu.
Wenn Sie Ihr Zertifikat importieren, sollten Sie das in einem Zertifikate-Snap-In tun, das Sie
für den Gültigkeitsbereich des lokalen Computerkontos geöffnet haben.
Wenn Sie Ihr Zertifikat anfordern und die Verbindung zum HTTPS-Server testen, dürfen Sie
nicht vergessen, dass Webbrowser so konfiguriert sind, dass sie den Namen, der in der URL
angegeben ist, mit dem Namen im Zertifikat vergleichen. Wenn Sie ein Zertifikat von Ihrem
Zertifikatanbieter anfordern, müssen Sie dabei also einen Namen angeben, der dem vollqualifizierten
Domänennamen entspricht, unter dem Sie das Zertifikat bereitstellen wollen.
Das bedeutet letztlich, dass Sie ein Zertifikat nicht für die Internet- und Intranetanschlüsse
eines Webservers gleichzeitig verwenden können. Und wenn Sie bei Tests mithilfe von localhost
oder einer IP-Adresse eine Verbindung zu Ihrem Webserver herstellen, bekommen Sie
einen Zertifikatfehler gemeldet, weil der Name des Zertifikats sich nicht mit dem Namen der
Site deckt, zu der Sie eine Verbindung herstellen .
Weitere Sicherheitsaspekte für IIS
Authentifizierung und Autorisierung sind die wichtigsten Elemente beim Schützen einer
Website, aber damit sind Sie noch lange nicht fertig. Sie müssen noch sicherstellen, dass es
keine versehentlichen Möglichkeiten gibt, aus den Sicherheitsmechanismen auszubrechen,
die Sie angewendet haben.
Anwendungsentwicklung
Wenn Sie Anwendungen für IIS entwickeln (etwa ISAPI-Module oder ASP.NET-Anwendungen),
sollten Sie immer daran denken, dass Sie nur etwa die Hälfte der Software selbst
schreiben. Die andere Hälfte ist der Teil, der auf dem Client läuft. Und dieser Teil wird unter
Umständen von jemand anders geschrieben, dessen einziges Ziel darin besteht, Ihrem Server
Schaden zuzufügen.
Entwickler sollten die Richtlinien für sichere Entwicklung kennen und sich daran halten.
Solche Richtlinien finden Sie zum Beispiel in Writing Secure Code, 2nd Edition von Michael
Howard und David LeBlanc (Microsoft Press, 2004).
Anforderungsfilterung
In IIS 6.0 wurde das Tool URLScan intensiv genutzt, um sicherzustellen, dass die an den
Webserver übergebenen URLs einer Reihe von Regeln gehorchten, um Angriffe abzuwehren.
In IIS 7.0 steht dieselbe Funktionalität über die Konfigurationseinstellung requestFiltering
zur Verfügung. Momentan gibt es für diese Einstellungen keine grafische Benutzeroberfläche,
aber Sie können sie unter dem folgenden Abschnitt der XML-Datei application-
Host.config konfigurieren: