我有一个Web应用程序,我想验证使用传递NTLM进行SSO.但是,有一个问题是NTLMv2显然不适用于这种情况(没有应用程序存储相同的密码哈希).
我使用本地组策略在一台客户端计算机(Vista)上启用了NTLMv1：计算机 – > Windows设置 – >安全设置 – >网络安全：LAN Manager身份验证级别.我改为发送LM& NTLM – 如果协商,则使用NTLMv2会话安全性.
这很有用,我可以使用NTLM登录Web应用程序.现在这个应用程序将被我的所有客户端计算机使用…所以我想知道如果我将这个策略推送到所有这些(而不是域控制器本身),安全风险是什么？
这是一个非常糟糕的做法,有点像启用WEP来保护您的WiFi,因为您的Windows 98计算机无法使用WPA2.这是2009年,如果你确实需要SSO,Kerberos可以正常工作.
我还认为网站的集成身份验证通常是一种不好的做法,因为当用户拥有多个帐户(我们使用单独的用户/管理员帐户)时,它通常会导致古怪的问题,需要您使用IE信任区域,并要求您使用IE或摆弄Firefox设置.
鉴于IE自2002年以来或者IE6何时出现(即The out of band ActiveX patch)已经并且将继续存在的火车残骸,你真的想要投入平台吗？
