CORRECTIF : Informations d'identification peuvent être envoyées via une connexion HTTP externe lorsque SSL est requise

Dans un scénario de publication Web où l'authentification de base est activée sur le port d'écoute des demandes Web entrantes, les informations d'identification peuvent être envoyées via une connexion HTTP externe bien que la règle de publication Web qui traite la demande est configurée pour SSL requis . Ce problème peut créer un problème de sécurité parce que les informations d'identification sont codées en Base64. Si les informations d'identification sont envoyées via une connexion HTTP, ils peuvent lire le texte en clair et décodés.

Ce problème peut se produire si toutes les conditions suivantes :

• L'authentification de base est configurée sur le port d'écoute des demandes Web entrantes.
• La règle de publication Web est configurée pour SSL requis parce que vous voulez autoriser uniquement le trafic HTTPS sur cette règle.
• La règle de publication Web est configurée pour l'authentification utilisateur.
• La demande client initiale est envoyée en utilisant HTTP et le format http://server.domain.tld.

Pour plus d'informations sur la façon de configurer ces paramètres, consultez la section «Plus d'informations» de cet article.

Remarque RFC 2617 exige que les clients HTTP sélectionner le modèle d'authentification le plus puissant dans toutes les options sont fournies par un serveur ou un proxy. Par exemple, Microsoft Internet Explorer est conforme à cette exigence. Parce que cette condition ne peut pas être garantie par les autres navigateurs, vous pouvez constater que l'authentification de base est activée, même lorsque les schémas d'authentification plus forts sont proposées.

Remarque Un commun exemple de ce problème peut se produire est si les utilisateurs externes demandent http://www.owaserver.com/exchange au lieu de https://www.owaserver.com/exchange.

Ce problème ne se produit pas dans les situations suivantes :

• Vous n'avez pas configuré l'authentification de base sur le port d'écoute des demandes Web entrantes.
• Vous avez plusieurs méthodes d'authentification activées sur le port d'écoute des demandes Web entrantes et le client s'authentifie en utilisant l'authentification NTLM ou Digest sur l'ordinateur qui exécute Internet Security and Acceleration (ISA) Server. Bien que l'authentification est également envoyée via HTTP, ce problème ne se produit car l'authentification NTLM et Digest ne peut être décryptée facilement.

Lorsqu'une demande entrante est envoyée à un ordinateur qui exécute ISA Server et l'authentification doit se trouver sur la règle qui traite la demande de publication Web, ISA Server renvoie tout d'abord une réponse «401 non autorisé» pour utiliser la négociation d'authentification avec le client. Cette réponse se produit indépendamment du protocole (HTTP ou HTTPS) que le client utilise. Après authentification réussie, ISA Server vérifie les propriétés de la règle de publication Web appropriée. Si la règle est configurée pour SSL requis , la demande est refusée par un «403 «(12211) réponse. Le problème de sécurité peut se produire à ce stade parce que les informations d'identification base ait déjà été envoyées en utilisant HTTP avant que la réponse «403» ne soit envoyé.

Pour résoudre ce problème, appliquez la mise à jour de sécurité MS05-034. Pour télécharger cette mise à jour de sécurité, site Web Microsoft suivant : Avertissement Problèmes sérieuses peuvent se produire si vous modifiez le Registre de façon incorrecte à l'aide de l'Éditeur du Registre ou en utilisant une autre méthode. Ces problèmes peuvent obliger à réinstaller votre système d'exploitation. Microsoft ne peut pas garantir que ces problèmes peuvent être résolus. Modifier le Registre à vos risques et périls.

Permet de contrôler si ISA Server demandes d'authentification pour entrant non sécurisé HTTP Web demande à jour de cette sécurité. Si vous effectuez souhaitez ISA Server demande authentification sur les connexions non sécurisées, ajoutez la clé de Registre suivante : Par défaut, ISA Server ne demandent pas authentification de base sur les connexions sécurisées sous lorsque vous appliquez cette mise à jour. Si vous effectuez voulez ce comportement se produit, supprimez cette clé de Registre ou définir la valeur de la clé de Registre à 0.

Si vous installez cette mise à jour de sécurité, ISA Server envoie immédiatement une réponse au client au lieu d'une réponse "401" «403» lorsque les conditions suivantes sont remplies :

• La clé de Registre est absente ou définie à 0.
• La demande est envoyée sur HTTP.
• L'authentification de base est configurée sur le port d'écoute des demandes Web entrantes.

Remarque Si vous installez cette mise à jour de sécurité, l'authentification de base ne peut pas être utilisée pour non sécurisé demandes Web entrantes, même si les autres règles de publication Web sont configurés pour utiliser l'authentification de base. Étant donné que l'authentification de base sur HTTP n'est pas une méthode d'authentification sécurisé, nous vous déconseillons utiliser l'authentification de base dans Web HTTP scénarios de publication.

Pour configurer l'authentification de base sur le port d'écoute des demandes Web entrantes, procédez comme suit :

1. Dans ISA Server Microsoft Management Console (MMC), cliquez avec le bouton droit sur le serveur ou groupe, puis cliquez sur Propriétés .
2. Cliquez sur les Requêtes Web entrantes onglet, puis cliquez sur l'authentification de base .

Pour configurer SSL requis sur la règle de publication Web, procédez comme suit :

1. Dans la MMC de serveur ISA, développez publication , puis développez Règles de publication Web .
2. Cliquez avec le bouton droit sur la règle que vous souhaitez configurer, puis cliquez sur Propriétés .
3. Cliquez sur l'onglet pontage , puis activez la case à cocher Exiger SSL .

Pour configurer la règle de publication Web pour l'authentification utilisateur, procédez comme suit :

1. Dans la MMC de serveur ISA, développez publication , puis développez Règles de publication Web .
2. Cliquez avec le bouton droit sur la règle que vous souhaitez configurer, puis cliquez sur Propriétés .
3. Cliquez sur l'onglet s'applique à , puis sélectionnez les utilisateurs sont autorisés à accéder les règles de publication Web.

Microsoft a confirmé le que de ce problème dans les produits Microsoft répertoriés dans la section «S'applique à».