Internet Information Services 3.
Se envía al servidor por la red el hash resultante junto con la información adicional como texto no cifrado.
4.
Entonces, el servidor agrega la información adicional a la copia de texto sin formato que tiene la contraseña del cliente y realiza el hash con toda la información.
5.
El servidor compara el valor de hash recibido con el que generó.
6.
Sólo se concederá acceso si los dos números son absolutamente idénticos.
La información adicional se agrega a la contraseña antes del proceso mediante hash, de forma que nadie puede capturar el hash de la contraseña y utilizarlo para suplantar al verdadero cliente. Se agregan valores que ayudan a identificar al cliente, el equipo del cliente y el territorio o dominio al que pertenece el cliente. También se agrega una fecha para evitar que un cliente utilice una contraseña una vez revocada. No todos los exploradores admiten la autenticación de texto implícita, ya que se trata de una característica nueva de HTTP 1.1. Si un explorador no compatible hace una petición en un servidor que requiere la autenticación de texto implícita, el servidor rechazará la petición y enviará un mensaje de error al cliente. La autenticación de texto implícita sólo se admite para los dominios con un controlador de dominio de Windows 2000 y Windows Server 2003.
?? Autenticación de Windows integrada La autenticación de Windows integrada (anteriormente llamada NTLM o Autenticación Desafío/Respuesta de Windows NT) es un método seguro de autenticación, ya que no se envía a través de la red el nombre de usuario ni la contraseña. Al habilitar la autenticación de Windows integrada, el navegador del usuario demuestra que conoce la contraseña mediante un intercambio criptográfico con el servidor Web, en el que interviene el hashing. La autenticación de Windows integrada se desarrolla de la siguiente forma: 1.
A diferencia de la autenticación básica, inicialmente no pide a los usuarios un nombre de usuario y una contraseña. La autenticación de Windows integrada utiliza la información de usuario actual de Windows en el equipo cliente.
2.
Sin embargo, si inicialmente no se identifica al usuario con el intercambio de autenticación, el navegador le pedirá el nombre de usuario y la contraseña de una cuenta de usuario de Windows, los cuales procesará mediante la autenticación de Windows integrada. Internet Explorer continuará pidiendo esa información hasta que el usuario escriba un nombre y una contraseña válidos o hasta que cierre el cuadro de diálogo donde se le piden.
Aunque la autenticación de Windows integrada es segura, tiene dos limitaciones:
Gestión y Administración de Windows Server 2003
Capítulo 11-41