is 'Autenticação básica com Kerberos?

Question

Um amigo me diz que ele usa a autenticação básica do IIS para autenticação de seu aplicativo da web. Esse sistema também usa o Kerberos, mas como a Autenticação Básica e o Kerberos funcionam juntos ?! Eu sei que a autenticação básica enviou uma senha em Base64 (como texto não criptografado) e o Kerberos não envia a senha pela rede, ele usa um sistema de ticket. Então, como o Kerberos pode se integrar à autenticação básica?

    

Answer 1

Acho que o que o aplicativo deve estar fazendo é solicitar ao usuário um nome de usuário e uma senha e, em seguida, usá-lo para autenticar em algum sistema Kerberos de back-end. Nesse ponto, o aplicativo da web pode representar o usuário e se conectar a outros recursos conforme necessário. A Microsoft tem um breve resumo desta técnica aqui .

Eu não acho que seja uma ótima idéia em geral, já que o usuário agora tem que confiar no servidor da web para não esconder sua senha e / ou personificá-lo de maneira indesejada. Com uma configuração pura do Kerberos, o usuário pode ter certeza de que o servidor da Web é quem afirma ser e limitar a delegação, sem revelar sua senha a ninguém. No entanto, firewalls, a Internet e vários outros fatores geralmente tornam atraente ou necessário usar a autenticação básica em vez do Kerberos puro.

    

Answer 2

A maioria dos aplicativos da Web usa autenticação básica, também conhecida como autenticação baseada em formulários, geralmente com SSL para proteger as credenciais. A única vez que você usaria a autenticação Integrada é em um site de Intranet (o SharePoint é um exemplo bem conhecido de algo que pode aproveitar a autenticação integrada). A autenticação integrada parece fantástica, mas pode ser complicado trabalhar corretamente e mantê-la funcionando de maneira confiável. A autenticação baseada em formulários é geralmente mais confiável.

O servidor da Web usa as credenciais fornecidas pelo usuário e autentica-se com o Active Directory em seu nome usando ... Kerberos. Se o aplicativo da Web precisar representar o usuário e acessar recursos externos ao servidor IIS (um cenário comum), a autenticação Kerberos será necessária. (Ou seja, a autenticação NTLM não funcionará nesse cenário de representação).