IIS - Система безопасности

Глава включает обзор пяти основных элементов системы безопасности, предлагаемых IIS 5.0: проверка подлинности, управление доступом, шифрование, аудит и сертификаты. Эта глава также содержит сведения о настройке системы безопасности веб-сервера, введение в новые мастера задач в IIS и комментарии к стандартам, поддерживаемым системой безопасности IIS. В разделе обсуждаются следующие вопросы:

• Новые мастера задач
• Проверка подлинности
• Управление доступом
• Сертификаты
• Шифрование
• Аудит
• Реализованные стандарты
• Настройка системы безопасности

Новые мастера задач

IIS 5.0 включает три новых мастера задач. Мастер сертификатов упрощает получение и управление сертификатом сервера. Мастер списка доверенных сертификатов облегчает создание и управление списком доверенных сертификатов. Эти два мастера заменяют процедуры, использовавшиеся для этих целей в предыдущих версиях IIS. Мастер разрешений упрощает установку разрешений на доступ к каталогам и файлам. (Разрешения можно по-прежнему установить с помощью процедуры, используемой в NTFS и предыдущих версиях IIS). Дополнительные сведения см. в разделе Использование новых мастеров безопасности.

Проверка подлинности

IIS предлагает возможности обеспечения безопасности, полностью встроенные в Windows. Поддерживается пять методов проверки подлинности, поэтому можно подтвердить подлинность любого пользователя, запрашивающего доступ к веб-узлам.

• Анонимная проверка подлинности позволяет получить доступ без указания имени пользователя и пароля.
• Обычная проверка подлинности запросит имя пользователя и пароль, которые передаются по сети незашифрованными.
• Краткая проверка подлинности является новой возможностью, которая выполняется так же, как и обычная, за исключением того, что пароли передаются в виде значения хэша. Значение хэша — это число, получаемое из текстового сообщения, например пароля. Исходный текст из значения хэша получить невозможно. Краткая проверка подлинности доступна только для доменов, контроллеры которых управляются операционной системой Windows 2000.
• Встроенная проверка подлинности Windows использует технику хэширования для идентификации пользователя без фактической передачи пароля по сети.
• Сертификаты представляют собой цифровое «удостоверение личности», которое может быть использовано для установления соединения по протоколу SSL. Они также могут быть использованы для проверки подлинности.

Эти методы могут быть использованы для разрешения доступа к общим областям узла и предотвращения несанкционированного доступа к личным файлам и каталогам. Дополнительные сведения о различных способах использования проверки подлинности на веб-сервере см. в разделе Проверка подлинности.

Управление доступом

Основой системы безопасности веб-сервера являются разрешения на доступ файловой системы NTFS, позволяющие определить уровень доступа к файлам и каталогам, предоставляемого пользователям и группам Windows. Например, если фирма решает опубликовать на веб-сервере свой каталог, необходимо создать учетную запись пользователя Windows для этой организации, а затем сконфигурировать разрешения для конкретного веб-узла, каталога или файла. Эти разрешения должны допускать обновление содержимого веб-узла только администратором сервера и владельцем фирмы. Остальным пользователям следует разрешить просматривать веб-узел, но запретить изменение его содержимого. Дополнительные сведения о задании разрешений NTFS см. в разделе Задание разрешений NTFS для каталога или файла.

WebDAV — это расширение протокола HTTP 1.1, которое облегчает работу с файлами и каталогами при соединении по протоколу HTTP. С помощью команд WebDAV можно добавлять и считывать свойства файлов и каталогов. Файлы и каталоги можно удаленно создавать, удалять, перемещать и копировать. Дополнительный контроль доступа можно настроить как через разрешения веб-сервера, так и через NTFS. Дополнительные сведения см. в разделах Об управлении доступом и Публикация средствами WebDAV.

Сертификаты

Сертификаты представляют собой цифровые документы, удостоверяющие личность, которые позволяют и серверам, и клиентам проверить подлинность друг друга. Они необходимы для установления между сервером и обозревателем на компьютере клиента соединения по протоколу SSL, при котором информация может быть передана в зашифрованном виде. В IIS возможности SSL, основанные на использовании сертификатов, состоят из сертификата сервера, клиентского сертификата и различных цифровых ключей. Эти сертификаты могут быть созданы с помощью служб сертификации Microsoft или получены от доверенной для обеих сторон независимой организации, называемой службой сертификации. Дополнительные сведения по настройке сертификатов и ключей см. в разделе Установка SSL на сервере.

Сертификаты сервера

Сертификаты сервера позволяют пользователю подтвердить подлинность веб-узла. Сертификат сервера содержит подробные сведения для идентификации: название организации, связанной с содержимым сервера, название организации-поставщика сертификата, а также открытый ключ, используемый для установления зашифрованного соединения. Эти сведения служат для пользователей гарантией подлинности содержимого веб-сервера и целостности системы безопасности подключения HTTP. Дополнительные сведения см. в разделе О сертификатах.

Клиентские сертификаты

При использовании SSL веб-сервер также имеет возможность проверить подлинность пользователей по содержимому клиентских сертификатов. Типичный сертификат клиента содержит подробные сведения, идентифицирующие пользователя и организацию, выдавшую сертификат, и открытый ключ. Проверка подлинности клиентских сертификатов совместно с шифрованием SSL позволяет реализовать защищенный метод проверки подлинности пользователей. Дополнительные сведения см. в разделе Сертификаты.

Шифрование

Можно разрешить пользователям обмениваться с сервером частными сведениями, например номерами кредитных карт или телефонами, безопасным путем с помощью шифрования. Шифрование «перемешивает» информацию перед ее пересылкой, дешифрование — расшифровывает ее после получения. Основанием для этого шифрования в IIS является протокол SSL 3.0, который обеспечивает безопасный способ установления зашифрованного соединения с пользователями. SSL подтверждает подлинность содержимого веб-узла и пользователей, пытающихся получить доступ к веб-узлам.

Сертификаты включают ключи, используемые при установке безопасного соединения по протоколу SSL. Ключ представляет собой уникальное значение, используемое для проверки подлинности сервера и клиента при установлении соединения SSL. Открытый ключ и закрытый ключ образуют пару ключей SSL. Веб-сервер использует пару ключей для установления безопасного соединения с веб-обозревателем клиента для определения уровня шифрования, необходимого для безопасной связи.

Для такого типа соединения необходимо, чтобы веб-сервер и веб-обозреватель пользователя были оснащены совместимыми системами шифрования и дешифрования. В процессе обмена создается ключ шифрования (или ключ сеанса). Ключ сеанса используется как сервером, так и веб-обозревателем для шифрования и дешифрования передаваемых данных. Степень шифрования для ключа сеанса, которую иногда называют стойкостью, измеряется в битах. Чем длиннее ключ сеанса, тем выше уровень шифрования и степень защиты. Хотя большая стойкость ключа обеспечивает большую безопасность, она также требует больше ресурсов сервера для реализации. Ключ сеанса веб-сервера обычно имеет длину 40 бит, но может быть длиной до 128 бит, в зависимости от требуемого уровня безопасности. Дополнительные сведения см. в разделе Шифрование.

Шифрование SGC (Server-Gated Cryptography)

Шифрование SGC является расширением SSL, которое позволяет финансовым организациям с экспортной версией IIS использовать стойкое (128 бит) шифрование. Хотя возможности SGC встроены в IIS 5.0, для их использования требуется специальный сертификат SGC. Дополнительные сведения см. в разделе Задание стойкости шифрования.

Аудит

Средства аудита дают широкие возможности контроля за посетителями и операциями веб-сервера. Рекомендуется регулярно выполнять аудит конфигурации сервера, чтобы обнаружить области, которые могут допустить несанкционированный доступ. Можно использовать встроенные служебные программы Windows, средства ведения журналов, встроенные в IIS 5.0, или использовать приложения ASP для создания собственного журнала аудита. Дополнительные сведения см. в разделе Аудит.

Реализованные стандарты

Большинство возможностей системы безопасности IIS реализуют стандарты, используемые в Интернете. Эти стандарты помогают поддерживать единообразие и использование приложений и информации на разных аппаратных платформах. Корпорация Майкрософт считает необходимым работать с пользователями компьютеров и Интернета, как помогая создавать хорошие стандарты, так и реализовывая эти стандарты. Для получения дополнительных сведений о стандартах, реализованных в IIS, следуйте соответствующей ссылке в приведенном ниже списке:

Secure Sockets Layer (SSL 3.0) (http://home.netscape.com/eng/ssl3/index.html) - это основанный на открытых ключах протокол безопасности, реализованный Secure Channel (Schannel). Протокол безопасности SSL широко используется в обозревателях Интернета и серверах для проверки подлинности, целостности сообщения и обеспечения конфиденциальности.

Обычная проверка подлинности (http://www.w3.org/) является частью спецификации HTTP 1.0. Пароль пересылается по сети в формате Base64. Большинство обозревателей поддерживают эту спецификацию.

Краткая проверка подлинности (http://www.ics.uci.edu/pub/ietf/http/rfc2069.txt) является новой возможностью IIS 5.0, совместимой с прокси-серверами. Идентифицирующая информация передается по сети в виде значения хэша.

PKCS #7 (http://www.rsa.com/standards/) описывает формат зашифрованных данных, например цифровых подписей или цифровых конвертов, которые надежно хранят информацию, содержащуюся в них. И те, и другие включены в возможности сертификатов в IIS.

PKCS #10 (http://www.rsa.com/standards/) описывает формат запросов на сертификат, которые направляются в службы сертификации.

Дополнительные сведения о вопросах безопасности Windows и сетей можно найти на веб-узле безопасности Microsoft по адресу http://www.microsoft.com/security или на узле безопасности Windows по адресу http://www.microsoft.com/ntserver/security/.

Настройка системы безопасности

Прежде чем приступать к настройке средств защиты веб-сервера, следует определить уровень безопасности, необходимый для защиты веб-узлов и узлов FTP. Например, если планируется создание веб-узла, на котором некоторым пользователям будет разрешен доступ к секретной информации, такой как финансовые или медицинские архивы, необходимо установить надежную конфигурацию системы защиты. Эта конфигурация должна позволять надежно проверять подлинность заданных пользователей и предоставлять доступ только им.

Безопасность веб-сервера в значительной степени зависит от конфигурации системы безопасности Windows. Без правильной настройки средств безопасности Windows защитить веб-сервер невозможно.

Если это еще не сделано, выполните следующие действия:

• Настройте учетную запись администратора Windows.
• Создайте и организуйте учетные записи пользователей.
• Создайте и организуйте группы.
• Определите политику безопасности Windows.

Дополнительные сведения содержатся в документации Windows. Кроме того, полезным источником сведений по безопасности является пакет Windows 2000 Resource Kit.

В рамках задания конфигурации системы безопасности следует также отформатировать раздел жесткого диска под файловую систему NTFS. Разделы NTFS обеспечивают более полные возможности контроля за доступом к файлам и каталогам, а также более эффективное сохранение данных, чем разделы системы FAT. Для преобразования раздела жесткого диска к системе NTFS можно использовать служебную программу Windows Convert. Дополнительные сведения содержатся в документации Windows.

После этого следует определить, какие файлы и каталоги должны быть общедоступными для посетителей веб- и FTP-узлов. Общедоступные материалы и материалы с ограниченным доступом следует сохранять в разных каталогах.

Перед началом настройки системы безопасности веб-сервера просмотрите в разделе Об управлении доступом сведения о настройке анонимного доступа к веб-серверу.