आईआईएस में डब्ल्यूसीएफ, http मूल प्रमाणीकरण - विंडोज उपयोगकर्ता "सुरक्षा" प्रभाव

Question

मैंने http बेसिक प्रमाणीकरण और एसएसएल का उपयोग करके एक डब्ल्यूसीएफ सेवा बनाई। (आईआईएस एटीएम में अस्थायी प्रमाणपत्र)

यहां प्रासंगिक कॉन्फ़िगरेशन है।

<services> 
    <service name="MyNamespace.MyService"> 
    <endpoint address="" binding="basicHttpBinding" bindingConfiguration="basicHttps" 
     name="MyEndPoint" contract="MyNamespace.IMyService" /> 
    </service> 
</services> 
<behaviors> 
    <serviceBehaviors> 
    <behavior name=""> 
     <!-- These will be false when deployed --> 
     <serviceMetadata httpsGetEnabled="true" /> 
     <serviceDebug includeExceptionDetailInFaults="true" /> 
    </behavior> 
    <!-- This doesn't do anything in IIS --> 
    <behavior name="CustomUsernameValidatorBehavior"> 
     <serviceCredentials> 
     <userNameAuthentication userNamePasswordValidationMode="Custom" 
      customUserNamePasswordValidatorType="MyNamespace.CustomUserNameValidator" /> 
     </serviceCredentials> 
    </behavior> 
    </serviceBehaviors> 
</behaviors> 
<bindings> 
    <basicHttpBinding> 
    <binding name="basicHttps"> 
     <security mode="Transport"> 
     <transport clientCredentialType="Basic" /> 
     </security> 
    </binding> 
    </basicHttpBinding> 
</bindings> 

कारण तथ्य यह है मैं आईआईएस में की मेजबानी कर रहा हूँ करने के लिए, मैं अपने customUsernameValidator उपयोग नहीं कर सकते, और मूल प्रमाणीकरण IIS यूज़रनेम और पासवर्ड विंडोज के खिलाफ की कोशिश करता है।

मैंने एक नया उपयोगकर्ता, स्थानीय रूप से अक्षम लॉगऑन बनाया है, और इसे एक नए समूह (अधिकारों के बिना) में रखा है। केवल उपयोगकर्ता का उद्देश्य यह सुनिश्चित करना है कि उन्हें सेवा तक पहुंचने की अनुमति है, और कुछ भी नहीं। सेवा ऑनलाइन होगी, आंतरिक नहीं इंट्रानेट इत्यादि में

मेरा प्रश्न इस पर उबालता है, क्या वास्तविक विंडोज उपयोगकर्ता का उपयोग करने के तथ्य के कारण सुरक्षा जोखिम/प्रभाव हैं? यदि इस सेवा/आईआईएस को सुरक्षित करने के लिए क्या किया जा सकता है?

जानकारी के 'फ़िशिंग' को रोकने के लिए कुछ किया जाना चाहिए, उदाहरण के लिए वे अलग-अलग उपयोगकर्ता नाम और पासवर्ड को प्रमाण-पत्र ढूंढने का प्रयास कर सकते हैं?

बीटीडब्ल्यू यह आईआईएस और एसएसएल में एचटीपी मूल प्रमाणीकरण का उपयोग कर डब्ल्यूसीएफ के लिए एक कामकाजी बाध्यकारी (कुछ अन्य अंतराल इत्यादि) घटा रहा है। इसके लिए आईआईएस के पास मूल प्रमाणीकरण स्थापित है, साथ ही एक विंडोज उपयोगकर्ता के खिलाफ प्रमाणीकरण करने की आवश्यकता है। मैं विंडोज उपयोगकर्ता के खिलाफ प्रमाणीकरण नहीं करना पसंद करूंगा।

Answer 1

आईआईएस 5.0 और नीचे संस्करण में आईपी एड्रेस प्रकटीकरण भेद्यता है यदि मूल प्रमाणीकरण (बिना किसी वास्तविक परिभाषित) का उपयोग किया जाता है। कृपया इस साइट पर एक नजर है: http://www.juniper.net/security/auto/vulnerabilities/vuln1499.html