La sicurezza è uno delle evoluzioni e miglioramenti
che Microsoft ha compiuto nel passaggio dalla versione 5 alla 6 di IIS.
Uno dei rischi più grossi cui si andava incontro nella
versione 5 era relativo alle falle che davano accesso al sistema.
Analizziamo ora quali sono in dettaglio i sistemi di autenticazione che
IIS 6.0 supporta per l’accesso alle risorse da parte dei
navigatori web.
L'autenticazione in IIS 6.0 avviene mediante uno dei metodi
sotto indicati:
-
Autenticazione anonima
-
Autenticazione base
-
Digest e Advanced Digest authentication
-
Integrated Windows authentication
-
.NET Passport authentication
Autenticazione Anonima
Il server utilizza un utente del sistema per impersonare il
navigatore web non autenticato quando vengono richieste risorse al
sistema. L'utente predefinito è
“iusr_nomemacchina” (ad esempio se il server
Windows si chiama GANDALF il nome dell'utente predefinito che il server
utilizzerà per impersonificare un utente che naviga su un
sito di IIS 6.0 senza nessun tipo di autenticazione sarà
“iusr_gandalf”). Questa è la situazione
più diffusa, quando cioè non compaiono le
finestre del browser che richiedono di autenticarsi.
I vantaggi di un tale sistema di autenticazione è
che ogni risorsa è accessibile per chiunque, questo
è anche uno svantaggio, in quanto non è possibile
bloccare l'accesso a determinate risorse.
Ciascuna di queste autenticazioni è presente
nell’apposita scheda (vista precedentemente)
“Protezione directory”.
Autenticazione base
Con questa autenticazione si obbliga il sito ad accettare solo
utenti che possiedono le credenziali corrette.
Quando compare sul browser la finestra di sistema
(è importante perché certi siti malintenzionati
potrebbero clonare una finestra simile) che chiede nome utente e
password, l’utente inserirà le proprie credenziali
e il server web utilizzerà tali credenziali di sistema per
concedere o negare risorse (quindi pagine web) alla sessione web in
corso.
Un grande vantaggio è che tutti i browser la
supportano, inoltre è possibile direttamente proteggere
alcune risorse. Lo svantaggio è che le password passano in
chiaro (codificate in base 64) e possono essere lette da chiunque.