2

这可能只是我对这个主题的误解，但我希望能找到一个简单的答案。

我运行一个网络服务器供我自己使用，其中有很多原因，只是为了让我有一个域名来引用我家的网络。

由于获得了 MS 慈善许可证，我刚刚部署了 Sever 2008 Enterprise。它比我以前在 XP 设置上的 IIS 5 好得多。

我还在玩弄 AD 组和用户，但现在我只想用密码保护这个框的 web 端的几个文件夹。

假设我去 domain.com，没问题。我想要那里的公共访问，它工作得很好。但如果我访问 domain.com/private，我希望它提供一个用户/密码框。我之前通过使用一个名为 IISPassword 的廉价程序来实现这一点，该程序使用 .htaccess/.htpasswd 文件。

在阅读 IIS7 的功能时，我对 Digest Authentication 产生了兴趣。知道基本身份验证会以明文形式传输密码，我认为这将是一个更好的选择。

我在 /private 文件夹上设置了权限以禁用所有其他方法（anon、basic），并且仅在 IIS MMC 中启用 Digest。我没有修改 NTFS 级别的文件夹权限（只是域组，IUSR 没有条目）。查看页面时我得到的所有响应都是错误 500。

我承认我对这个级别的管理还是新手，并且非常感谢我能获得的任何帮助来启用这个级别的保护。我可以使用 AD 身份验证，但我认为我仍然坚持“为什么我得到 500 而不是凭据提示”

谢谢！乔恩

4

3 回答 3

0

I don't have a 100% answer for you, but I asked this same question. It sounds like it's been removed from IIS7 under INTEGRATED mode.

Please read the answers in that post. It might help you :)

于 2009-07-10T04:56:52.183 回答
0

谢谢您的意见！

当我迁移所有内容时，我也移动了错误页面。在通过 localhost 进行测试后，我发现它不允许使用绝对路径……长话短说，我改变了它搜索 404 和 401 错误页面的方式，现在它对我来说不是 500。问题仍然是它不会提示输入密码，除非我从 localhost 在机器上测试它。任何其他机器都会立即抛出 401.htm 页面。

于 2009-07-10T18:11:22.030 回答
0

好吧，你可能会得到很多这样的东西，因为任何必须实施一种或另一种安全访问的人都会受到足够多的攻击，以至于实施任何真正的加密货币至少是困难的，并且需要大量的工作。（不是你不是）

我会冒险猜测，如果您是MS 慈善许可证，它有点取决于您必须保护哪些有价值的财产 - 传输强消息摘要的结果与传输明文的“pw”相同，什么消息摘要用于将消息摘要存储在服务器端的某个位置，这样，如果毛茸茸的大猩猩，泥泞怪物派邪恶的双胞胎在您的系统中漫步，则无法从消息摘要中恢复密码。

即使整个磁盘丢失，根据几个地方的标准备考故障场景（而不是引起注意，让我告诉你这是噩梦场景）然后 Big Time Finance World Corp 不会出现欺诈检测器， .... 可能有一些，但没有一波又一波的事件。

把钱放在银行里，阅读 2002 年的萨班斯-奥克斯利法案，使用小商店安全模式，不要试图与 Twisted Sister 打交道，把它留给别人。基本身份验证以明文形式发送，而不是您应该担心的数据包嗅探器 - 如果是最近在 Heartland 的中断说明只有硬件加密/解密在敌对用户区有任何用途，距离爱丽丝梦游仙境不远。

大部分现在看重的东西，我一上来就给我们打，今天你拿奖。

阅读毛文博的序言。

消息编辑：你能说出7c6a180b36896a0a8c02787eeafb0e4c来自哪里吗？Twisted Twin ( ! )也不能

留言编辑：

RFC 2617 - HTTP 身份验证：基本和摘要访问身份验证

RFC 3540 - 具有 Nonce 的稳健显式拥塞通知 (ECN) 信令

RFC 4418 - UMAC：使用通用散列的消息验证码

不管你做什么，使用成熟的工具。

于 2009-09-27T21:30:39.233 回答