Comment puis-je vérifier si mon IIS site utilise NTLM ou Kerberos?

Question

Comment puis-je vérifier si mon IIS site utilise NTLM ou Kerberos? Et comment puis-je modifier l'authentification de Kerberos en NTLM? J'utilise IIS 7.5.

Answer 1

Si vous avez accès à votre IIS Server, la réponse est beaucoup plus simple que d'inspecter le trafic HTTP: affichez simplement la configuration du module d'authentification du site pour l'authentification Windows.

1. In IIS Manager
2. Sélectionnez votre site
3. Cliquez sur le module d'authentification
4. Sélectionnez l'authentification Windows
5. Sélectionnez des fournisseurs ...

Answer 2

utilisez le code ci-dessous dans la page HTML/ASP:

<%
    authType=UCase(Request.ServerVariables("AUTH_TYPE"))
    authHeader=Request.ServerVariables("HTTP_AUTHORIZATION")
    response.write " Authentication Method : " & authType & "<BR>"
    LenAuthHeader = len(authHeader)
    response.write " Protocol : "
    if Len(authType ) =0 then response.write " Anonymous" else if authType<>"NEGOTIATE" then response.write authType else if LenAuthHeader>1000 then response.write "Kerberos" else response.write "NTLM"
%> 

Answer 3

Dans votre en-tête de requête HTTP (vous pouvez le voir à partir de Firebug, Chrome outil ou Fiddler) Vous verrez quelque chose comme ça Si vous utilisez NTLM

Autorisation: NTLM = TlRMTVNTGD6XAAAAGAAYAG425qAAYABgAhgAAAAAAAABIAAAADgAOAEgAAAAYABgAVgAAAAAAAACeAAAABYKIogUBKAoAAAAPcwBpAG0AcABsAGkAcABOADMAUgBXAEsAVwBBAEwAVABFAFIAQQAzVtleqNj7HAAAAAAAAAAAAAAAAAAAAACW3g66aPaiileWScIYweBj6fs2iGY/TA3 =

De IIS Gestion Panel, vous pouvez faire une authentification et choisir l'authentification que vous préférez.

Answer 4

Cette réponse n'est pas assez complète. La connexion peut utiliser NTLM de deux manières. On se fait via la méthode www-auttracte "NTLM"; l'autre est par négociation. Négocier les utilisations GSSAPI, qui peuvent à leur tour utiliser divers mécanismes; Sous Windows, cela inclut Kerberos et NTLM.

Wireshark peut décoder tout cela et vous montrer rapidement ce qui se passe, en supposant que vous n'utilisez pas TLS. Si vous êtes, vous pouvez organiser que Wireshark peut être capable de déchiffrer le trafic TLS; Cela prend juste des efforts supplémentaires.