Les nouvelles fonctions de sécurité d’IIS 5.0

J’ai défini les options de sécurité sur le serveur après avoir créé le nouveau
répertoire virtuel. L’accès aux paramètres de sécurité se fait par le Gestionnaire
des services Internet (Internet Service Manager – ISM) comme dans IIS 4.0 de Windows
NT 4.0. Ouvrez ISM à  partir du dossier Start\Programs\/Administrative Tools. Sélectionnez
Propriétés du répertoire virtuel et cliquez sur l’onglet Sécurité du répertoire.

La première option de sécurité est la méthode d’authentification, qui contrôle
l’authentification des utilisateurs accédant au répertoire virtuel en fonction
du système de sécurité du serveur. L’écran 1 montre la boîte de dialogue Méthodes
d’authentification, qui contrôle les différentes méthodes. Cochez la case Accès
anonyme et cliquez sur Edition. Cette option accorde l’accès du répertoire
virtuel à  tous les utilisateurs. Après avoir cliqué sur Edition, vous voyez s’afficher
la boîte de dialogue Compte de l’utilisateur anonyme dans laquelle vous sélectionnez
le compte ; le compte par défaut est IUSR_machinename.

L’option Authentification de base contrôle l’accès autorisé au répertoire
virtuel. Si vous cochez cette case, le browser utilise la transmission en texte
clair pour envoyer votre compte d’utilisateur et votre mot de passe à  IIS 5.0.
Cette fonction est identique à  celle d’IIS 4.0, mais avec un petit changement
: la possibilité de cliquer sur Edition pour afficher la boîte de dialogue Domaine
d’authentification de base, qui permet de sélectionner le domaine NT par rapport
auquel vous voulez authentifier les utilisateurs. Le domaine par défaut est le
domaine NT local, mais il est possible de choisir tout domaine NT ou tout autre
domaine compatible. Cette fonction permet de contrôler l’accès des utilisateurs
aux applications Web avec une authentification en fonction du système de sécurité
de n’importe quel autre OS. Les grandes organisations possédant un grand nombre
de systèmes Windows 2000, de domaines NT et de systèmes Novell Netware apprécieront
cette fonction.

L’option suivante, Authentification abrégée pour les serveurs de domaines Windows),
active l’authentification abrégée définie par l’IETF (Internet Engineering Task
Force) dans la RFC 2069 (http://www.ietf.org/rfc/rfc2089.txt).
L’authentification abrégée spécifie l’utilisation d’un service de chiffrement
pour protéger le mot de passe de l’utilisateur. Elle envoie un mot de passe à 
secret partagé plutôt qu’un mot de passe d’utilisateur. Cette authentification
fonctionne sur TCP/IP, donc avec les serveurs proxy de Microsoft. Internet Explorer
5.0 fait partie des rares browsers supportant l’authentification abrégée, qui
fait partie de HTTP 1.1.

Lorsqu’un utilisateur navigue vers un répertoire virtuel avec l’authentification
abrégée activée, IIS 5.0 envoie au browser une valeur de circonstance pour l’interroger.
Cette requête comprend des informations supplémentaires utilisées par le browser
dans le processus de chiffrement. Le browser les ajoute à  l’ID et au mot de passe
de l’utilisateur et soumet cette chaîne à  un algorithme de hachage pour générer
une nouvelle valeur qu’il envoie sur le réseau. Si cette valeur est la même que
la valeur de hachage générée par IIS 5.0, l’authentification abrégée authentifie
l’utilisateur et lui accorde l’accès aux ressources IIS.

Lorsque vous activez l’authentification abrégée, IIS 5.0 vous signale de stocker
les mots de passe des comptes en texte clair. IIS 5.0 utilise le mot de passe
en texte clair pour générer la valeur hachée qui sera comparée à  celle du browser.
L’authentication abrégée fonctionne parce qu’IIS 5.0 peut découvrir le mot de
passe de l’utilisateur sur le serveur et que le browser le connaît. IIS 5.0 compare
le hachage envoyé par le browser, sans obligation pour le browser ou IIS d’envoyer
le mot de passe sur le réseau.

Dans les précédentes versions d’IIS la dernière option, Authentification Windows
intégrée, s’appelait Authentification par Stimulation/Réponse NT. Cette
option active le protocole d’authentification par Stimulation/Réponse NT original
de IE 2.0 et des versions ultérieures, ainsi que d’autres méthodes.