{"id":553,"date":"2014-06-03T16:11:03","date_gmt":"2014-06-03T14:11:03","guid":{"rendered":"https:\/\/www.krombusch.de\/?p=553"},"modified":"2021-11-01T12:36:52","modified_gmt":"2021-11-01T11:36:52","slug":"http-authentifizierung-mit-win7-und-ie11","status":"publish","type":"post","link":"https:\/\/www.krombusch.de\/?p=553","title":{"rendered":"HTTP-Authentifizierung mit Win7 und IE11"},"content":{"rendered":"<figure id=\"attachment_554\" aria-describedby=\"caption-attachment-554\" style=\"width: 467px\" class=\"wp-caption alignnone\"><a href=\"https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth4.png\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-554 size-full\" src=\"https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth4.png\" alt=\"proxyauth4\" width=\"467\" height=\"115\" srcset=\"https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth4.png 467w, https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth4-300x73.png 300w\" sizes=\"auto, (max-width: 467px) 100vw, 467px\" \/><\/a><figcaption id=\"caption-attachment-554\" class=\"wp-caption-text\">kalt<\/figcaption><\/figure>\n<figure id=\"attachment_565\" aria-describedby=\"caption-attachment-565\" style=\"width: 422px\" class=\"wp-caption alignnone\"><a href=\"https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth5.png\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-565 size-full\" src=\"https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth5.png\" alt=\"proxyauth5\" width=\"422\" height=\"468\" srcset=\"https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth5.png 422w, https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth5-270x300.png 270w\" sizes=\"auto, (max-width: 422px) 100vw, 422px\" \/><\/a><figcaption id=\"caption-attachment-565\" class=\"wp-caption-text\">w\u00e4rmer<\/figcaption><\/figure>\n<p>In Unternehmensnetzwerken h\u00e4ngen Clientcomputern selten direkt am Internet. Meist leitet der Admin den Traffic vom Browser zentral \u00fcber einen Proxyserver, der beliebte Webseiten zwischenspeichert, Viren herausfischt oder youtube sperrt. Soweit so gut.<br \/>\nNun d\u00fcrfen manche Benutzer weniger als andere und gut getarnte Klick-Mich-Werbung darf noch weniger. Deshalb setzt der Admin nach dem \u00d6ffnen des Browsers und vor den ersten Internetzugriff eine Benutzeranmeldung.<\/p>\n<p><!--more--><br \/>\nDie hier einzugebenden Login-Daten sind solange g\u00fcltig, bis der Benutzer den Browser wieder schlie\u00dft (\u201eSession\u201c). Aus Sicherheitsgr\u00fcnden sind Login-Daten selten identisch mit der Windows-\/Mac-\/Linux-Anmeldung am Betriebssystem (\u201eSingle-Sign-On\u201c).<br \/>\nSomit muss der Proxy die Login-Daten entgegen nehmen, selbst gegen eine User-Datenbank pr\u00fcfen oder an einen weiteren Mechanismus wie bsp. einen RADIUS-Server weitergeben.<br \/>\nF\u00fcr die eigentliche \u00dcbergabe der Anmeldedaten per Browser an den Proxy braucht es einen (HTTP)-Authentifizierungsmechanismus. Aus historischen\/kompatiblen Gr\u00fcnden trifft man oft noch die BASIC\/Digest-Authentifizierung an, wobei Benutzername und Passwort in base64-Codierung (und somit relativ unverschl\u00fcsselt) \u00fcbertragen werden. Wobei wir uns immer noch im Intranet, maximal in der DMZ, befinden.<\/p>\n<p>Leider hat es Microsoft mit WinINET seit Windows 7 etwas zu gut gemeint, was das Zwischenspeichern solcher Informationen angeht. (Gemeint sind nicht die Passw\u00f6rter in Webformularen, deren Speicherung \u00fcber eine Gruppenrichtlinie verhindert werden kann).<\/p>\n<p>Das f\u00fchrt zu folgendem absurden Verhalten. Nehme wir als Beispiel einen Proxyserver mit einer beliebigen privaten IP-Adresse und einen Benutzer \u201eMeyer\u201c.<img loading=\"lazy\" decoding=\"async\" class=\"alignright wp-image-555 size-full\" src=\"https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth1.png\" alt=\"proxyauth1\" width=\"202\" height=\"112\" \/><\/p>\n<ul>\n<li>Benutzer A \u00f6ffnet den Browser, tippt google.de ein und erh\u00e4lt vom Browser folgenden Login-Dialog. Das \u201ePasswort speichern\u201c-H\u00e4kchen knippst er <strong>nicht<\/strong> an.<\/li>\n<li>Benutzer A <strong>schlie\u00dft<\/strong> den Browser (Session vorbei) und verl\u00e4sst den Computer.<\/li>\n<li>Einige Zeit sp\u00e4ter setzt sich Benutzer B an Computer, \u00f6ffnet den Browser und tippt sportschau.de ein. Worauf der IE11 die Webseite <strong>ohne Anmeldung<\/strong> am Proxy direkt \u00f6ffnet.<\/li>\n<\/ul>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone wp-image-556 size-full\" src=\"https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth2.png\" alt=\"proxyauth2\" width=\"416\" height=\"375\" srcset=\"https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth2.png 416w, https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth2-300x270.png 300w\" sizes=\"auto, (max-width: 416px) 100vw, 416px\" \/><\/p>\n<p>Im Windows Credential Manager ist zu sehen, dass das System die generischen (Generisch: Was man woanders nicht so richtig einordnen kann) Anmeldeinformationen trotzdem zwischengespeichert hat. Und zwar nicht in Browsercache oder Cookies. Die G\u00fcltigkeit erstreckt sich hier nicht \u00fcber die Browser, sondern \u00fcber die gesamte Windows-Session.<\/p>\n<p><a href=\"https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth3.png\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-557\" src=\"https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth3.png\" alt=\"proxyauth3\" width=\"617\" height=\"523\" srcset=\"https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth3.png 617w, https:\/\/www.krombusch.de\/wp-content\/uploads\/2014\/06\/proxyauth3-300x254.png 300w\" sizes=\"auto, (max-width: 617px) 100vw, 617px\" \/><\/a><br \/>\nBug oder Feature?<br \/>\nMit dem alten Registry-Key kann die Speicherung zwar umgangen werden, aber erst Windows 8 zeigt dem Benutzer das H\u00e4ckchen dann auch nicht mehr an. Komisch.<\/p>\n<p>P.S.: Erst \u00fcberlegen, bevor man den Holzhammer (Gruppenrichtlinien&#8211;&gt;keine Netzwerkkennw\u00f6rter speichern) rausholt. Diese GPO unterscheidet nicht nach Art der Anmedleinformation. Kann nach hinten losgehen, wenn bsp. Netzlaufwerke au\u00dferhalb ds AD gemappt sind.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>In Unternehmensnetzwerken h\u00e4ngen Clientcomputern selten direkt am Internet. Meist leitet der Admin den Traffic vom Browser zentral \u00fcber einen Proxyserver, [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-553","post","type-post","status-publish","format-standard","hentry","category-allgemein"],"_links":{"self":[{"href":"https:\/\/www.krombusch.de\/index.php?rest_route=\/wp\/v2\/posts\/553","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.krombusch.de\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.krombusch.de\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.krombusch.de\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.krombusch.de\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=553"}],"version-history":[{"count":11,"href":"https:\/\/www.krombusch.de\/index.php?rest_route=\/wp\/v2\/posts\/553\/revisions"}],"predecessor-version":[{"id":912,"href":"https:\/\/www.krombusch.de\/index.php?rest_route=\/wp\/v2\/posts\/553\/revisions\/912"}],"wp:attachment":[{"href":"https:\/\/www.krombusch.de\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=553"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.krombusch.de\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=553"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.krombusch.de\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=553"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}