Функциональные возможности
Таблица 16.3. Функциональные возможности, улучшающие защищенность служб IIS
|
Функциональная возможность |
Описание |
|
Цифровая аутентификация |
Данный механизм аутентификации представляет собой более защищенный вариант базовой аутентификации. В отличие от последней, предполагающей передачу информации о пароле открытым текстом, в процессе цифровой аутентификации передается хэшированный пароль. Для хэширования применяется алгоритм MD5. Использование механизма цифровой аутентификации описано в рамках протокола HTTP 1.1, поэтому для его использования требуется, чтобы браузер поддерживал этот стандарт |
|
Безопасное взаимодействие |
Для реализации защищенного канала передачи данных между клиентом и сервером могут быть использованы механизмы Security Socket Layer версии 3.0 (SSL) и Transport Layer Security (TLS). Эти механизмы могут быть также применены для организации проверки подлинности участников соединения |
|
Шлюзовое серверное шифрование (Server-Gated Cryptography, SGC) |
Это расширение протокола SSL, которое позволяет финансовым учреждениям, использующим службы IIS в экспортном варианте, применять мощное 128-разрядное шифрование. Возможности SGC встроены в службы IIS, однако, чтобы использовать SGC, требуется специальный сертификат SGC |
|
Возможность выбора криптографических алгоритмов |
Механизм SSL является надежным способом организации защищенного взаимодействия. Однако процесс шифрования сетевого трафика между клиентом и сервером приводит к существенной нагрузке на процессорную подсистему. IIS позволяет администратору выбрать поставщика криптографических услуг (Cryptographic Service Provider, CSP) в соответствии со стоящими перед ним задачами. Например, можно задействовать аппаратные устройства, выполняющие шифрование данных или использовать CSP стороннего производителя |
|
Настраиваемые полномочия рабочих процессов |
Администратор может сконфигурировать пулы приложений (а соответственно и связанные с ними рабочие процессы) таким образом, чтобы они выполнялись в контексте учетной записи, обладающей полномочиями меньшими, чем учетная запись LocalSystem. Это позволяет сократить риск от возможных атак |
|
Мастера безопасности |
В составе IIS реализованы специальные мастера, упрощающие выполнение задач администрирования сервера. Это мастер Web Server Certificate Wizard, упрощающий процесс создания запросов на получение сертификатов и управление циклом жизни сертификата, а также мастер CTL Wizard, используемый для настройки списков доверия сертификатов (Certificate Trust List, CTL). Список CTL представляет собой перечень центров авторизации или поставщиков сертификатов (Certificate Authorities, CA), получивших доверие, для заданного каталога. CTL особенно полезен для поставщиков услуг Интернета (ISP), которые держат на своем сервере много веб-узлов клиентов и должны хранить различные утвержденные списки центров авторизации для каждого узла |
|
Совместимость с протоколом Kerberos v5 |
Службы IIS полностью интегрированы с моделью безопасности Kerberos, реализованной в Microsoft Windows Server 2003 |
|
Управление развертыванием служб IIS через механизм групповых политик |
Используя механизм групповых политик, администратор может запретить пользователям развертывание службы IIS в рамках домена |
|
Управление правами доступа рабочих процессов |
Рабочие процессы в рамках IIS запускаются в контексте учетной записи пользователя с ограниченными правами доступа. Это позволяет снизить риск, связанный с возможными атаками |
|
Защита ASP |
Все встроенные ASP-функции вызываются в контексте учетной записи, обладающей ограниченными правами доступа |
|
Ограничение на запуск исполняемых файлов |
Запуск большинства исполняемых файлов, расположенных в системной папке, разрешен ограниченному кругу лиц (например, членам группы Administrators) |
|
Управление обновлениями |
В рамках IIS реализована возможность применения обновлений (патчей) без необходимости остановки служб IIS |
|
Защита от записи для содержимого веб-сайта |
По умолчанию анонимным пользователям запрещено выполнение операции записи при работе с веб-сайтами |
|
Ограничение на объем закачиваемых данных |
Администратор имеет возможность ограничения объема данных, которые могут быть закачаны на сервер |
|
Контроль переполнения буфера |
Рабочий процесс способен обнаружить переполнение буфера и прервать программу, виновную в этом |
|
Управление доступом к исходному коду сценариев |
Администратор может устанавливать разрешения на доступ к исходным кодам сценариев. По умолчанию это разрешение отключено |
|
Суб-аутентификация |
Механизмы суб-аутентификации (позволяющие использовать механизмы аутентификации сторонних приложений) по умолчанию отключены в IIS 6.0 |
