Servicios de información de Internet

Servicios de información de Internet ( IIS ) es un servidor web extensible creado por Microsoft para su uso con la familia Windows NT . ^{[ 2 ]} IIS admite HTTP , HTTP/2 , HTTP/3 , HTTPS , FTP , FTPS , SMTP y NNTP . Ha sido una parte integral de la familia Windows NT desde Windows NT 4.0 , aunque puede estar ausente en algunas ediciones (por ejemplo, Windows XP Home Edition) y no está activo por defecto. Un conjunto de software dedicado llamado SEO Toolkit ^{[ 3 ]} está incluido en la última versión del administrador. Este conjunto tiene varias herramientas para SEO con funciones para optimización de metatags/codificación web, configuración de sitemaps/robots.txt, análisis de sitios web, configuración de rastreadores, configuración del servidor SSL y más.

El primer servidor web de Microsoft fue un proyecto de investigación del Centro Académico Europeo de Microsoft Windows NT (EMWAC), perteneciente a la Universidad de Edimburgo en Escocia, y se distribuyó como software gratuito . ^{[ 4 ]} Sin embargo, dado que el servidor EMWAC no podía gestionar el volumen de tráfico dirigido a Microsoft.com , Microsoft se vio obligado a desarrollar su propio servidor web, IIS. ^{[ 5 ]}

Casi todas las versiones de IIS se lanzaron junto con una versión de Microsoft Windows o al mismo tiempo:

• IIS 1.0 se lanzó inicialmente como un complemento gratuito para Windows NT 3.51.
• IIS 2.0 se incluyó con Windows NT 4.0.
• IIS 3.0, que se incluyó con el Service Pack 2 de Windows NT 4.0, introdujo el entorno de scripting dinámico Active Server Pages . ^{[ 6 ]}
• IIS 4.0 se lanzó como parte del "Paquete de opciones" para Windows NT 4.0. Introdujo la nueva aplicación de administración basada en MMC y fue la primera versión que permitía ejecutar varias instancias de servidores web y FTP, diferenciándolas por número de puerto o nombre de host. También fue la primera versión en admitir grupos de aplicaciones.
• IIS 5.0 se incluyó con Windows 2000 e introdujo métodos de autenticación adicionales, compatibilidad con el protocolo WebDAV y mejoras en ASP . ^{[ 7 ]} IIS 5.0 también dejó de ser compatible con el protocolo Gopher . ^{[ 8 ]} IIS 5.0 añadió HTTP.SYS.
• IIS 5.1 venía incluido con Windows XP Professional y era prácticamente idéntico a IIS 5.0 de Windows 2000.
• IIS 6.0, incluido con Windows Server 2003 y Windows XP Professional x64 Edition , añadió compatibilidad con IPv6 e incluyó un nuevo modelo de proceso de trabajo que aumentó la seguridad y la fiabilidad. ^{[ 9 ]} HTTP.sys se introdujo en IIS 6.0 como un oyente de protocolo específico de HTTP para solicitudes HTTP. ^{[ 10 ]} Además, cada componente (como por ejemplo Server Side Includes o ASP) ahora debe instalarse explícitamente, porque en versiones anteriores a menudo los hackers accedían a los sitios utilizando vulnerabilidades de seguridad de componentes que ni siquiera estaban en uso por el sitio hackeado, lo que mejoró la seguridad.
• IIS 7.0 fue un rediseño y reescritura completos de IIS y se incluyó con Windows Vista y Windows Server 2008. IIS 7.0 incluyó un nuevo diseño modular que permitió una superficie de ataque reducida y un mayor rendimiento. También introdujo un sistema de configuración jerárquica que permitió implementaciones de sitios más simples, una nueva aplicación de administración basada en Windows Forms , nuevas opciones de administración de línea de comandos y mayor compatibilidad con .NET Framework . ^{[ 11 ]} IIS 7.0 en Vista no limita el número de conexiones permitidas como lo hacía IIS en XP, pero limita las solicitudes concurrentes a 10 (ediciones Windows Vista Ultimate, Business y Enterprise) o 3 (Vista Home Premium). Las solicitudes adicionales se ponen en cola, lo que perjudica el rendimiento, pero no se rechazan como en XP.
• IIS 7.5 se incluyó en Windows 7 (pero debe activarse en el panel lateral de Programas y características) y Windows Server 2008 R2 . IIS 7.5 mejoró los módulos WebDAV y FTP, así como la administración de la línea de comandos en PowerShell . También introdujo la compatibilidad con TLS 1.1 y TLS 1.2, la herramienta Analizador de mejores prácticas y el aislamiento de procesos para grupos de aplicaciones. ^{[ 12 ]}
• IIS 8.0 solo está disponible en Windows Server 2012 y Windows 8. IIS 8.0 incluye SNI (vinculación de SSL a nombres de host en lugar de direcciones IP), inicialización de aplicaciones, compatibilidad con certificados SSL centralizados y escalado multinúcleo en hardware NUMA , entre otras nuevas características.
• IIS 8.5 está incluido en Windows Server 2012 R2 y Windows 8.1 . Esta versión incluye paginación de procesos de trabajo inactivos, activación dinámica de sitios, registro mejorado, registro ETW y reasignación automática de certificados.
• IIS 10.0 versión 1607, también conocida como versión 10.0.14393, está incluida en Windows Server 2016, lanzado el 26 de septiembre de 2016, y en la Actualización de Aniversario de Windows 10, lanzada el 2 de agosto de 2016. Esta versión incluye compatibilidad con HTTP/2 , ^{[ 13 ]} la ejecución de IIS en contenedores de Windows en Nano Server, una nueva API de administración REST y su correspondiente interfaz gráfica de usuario (GUI) de administración basada en web, y encabezados de host comodín. ^{[ 14 ]}
• La versión 1709 de IIS 10.0 está incluida en Windows Server, versión 1709 (Canal Semianual) y en Windows 10 Fall Creators Update, ambas publicadas el 17 de octubre de 2017. Esta versión añade compatibilidad con HSTS , mejoras en contenedores, nuevos cmdlets de PowerShell para la vinculación de sitios y 4 nuevas variables de servidor con el prefijo "CRYPT_". ^{[ 15 ]}
• IIS 10.0 versión 1809, también conocida como versión 10.0.17763, está incluida en Windows Server 2019 y en la Actualización de octubre de Windows 10 publicada el 2 de octubre de 2018. Esta versión agregó indicadores para el control de HTTP/2 y OCSP Stapling por sitio, una API de compresión y un módulo de implementación que admite los esquemas gzip y brotli , y una interfaz de usuario para configurar HSTS . ^{[ 16 ]} IIS 10.0 en Windows 11 y Windows Server 2022 tiene soporte nativo para HTTP/3 .

Todas las versiones de IIS anteriores a la 7.0 que se ejecutaban en sistemas operativos cliente solo admitían 10 conexiones simultáneas y un único sitio web.

Microsoft fue criticada por proveedores de otros software de servidor web, incluyendo O'Reilly & Associates y Netscape , por su licenciamiento de versiones tempranas de Windows NT; la edición "Workstation" del sistema operativo permitía solo diez conexiones TCP/IP simultáneas, mientras que la edición "Server", más cara, que por lo demás tenía pocas características adicionales, permitía conexiones ilimitadas pero incluía IIS. Se insinuó que esto tenía como objetivo disuadir a los consumidores de ejecutar paquetes de servidor web alternativos en la edición más barata. ^{[ 17 ]} Netscape escribió una carta abierta a la División Antimonopolio del Departamento de Justicia de los Estados Unidos con respecto a esta distinción en el licenciamiento del producto, que afirmó que no tenía mérito técnico. ^{[ 18 ]} O'Reilly demostró que el usuario podía eliminar los límites impuestos que estaban destinados a paralizar NT 4.0 Workstation como servidor web con dos cambios de clave de registro y otros ajustes triviales de archivos de configuración.

IIS 6.0 y versiones superiores admiten los siguientes mecanismos de autenticación : ^{[ 19 ]}

• Autenticación anónima
• autenticación de acceso básico
• Autenticación de acceso resumido
• Autenticación integrada de Windows
• autenticación UNC
• Autenticación .NET Passport (eliminada en Windows Server 2008 e IIS 7.0) ^{[ 20 ]}
• Autenticación de certificados

IIS 7.0 tiene una arquitectura modular. Los módulos, también llamados extensiones, se pueden agregar o eliminar individualmente, de modo que solo se instalen los módulos necesarios para una funcionalidad específica. IIS 7 incluye módulos nativos como parte de la instalación completa. Estos módulos son características individuales que el servidor utiliza para procesar las solicitudes. ^{[ 21 ]}

IIS 7.5 incluye las siguientes características de seguridad adicionales o mejoradas: ^{[ 22 ]}

• Mapeo de certificados de cliente
• seguridad IP
• Filtrado de solicitudes
• autorización de URL

La autenticación cambió ligeramente entre IIS 6.0 e IIS 7, principalmente porque el usuario anónimo, que se llamaba "IUSR_{machinename}", es una cuenta integrada en Vista y sistemas operativos posteriores, y se llama "IUSR". Cabe destacar que, en IIS 7, cada mecanismo de autenticación está aislado en su propio módulo y se puede instalar o desinstalar. ^{[ 20 ]}

IIS 8.0 ofrece nuevas características orientadas al rendimiento y a una administración más sencilla. Las nuevas características son:

• Inicialización de la aplicación: una función que permite al administrador configurar ciertas aplicaciones para que se inicien automáticamente al arrancar el servidor. Esto reduce el tiempo de espera que experimentan los usuarios que acceden al sitio por primera vez después de reiniciar el servidor. ^{[ 23 ]}
• Página de inicio durante la inicialización de la aplicación: el administrador puede configurar una página de inicio que se mostrará al visitante del sitio durante la inicialización de la aplicación. ^{[ 23 ]}
• Compatibilidad con ASP.NET 4.5: Con IIS 8.0, ASP.NET 4.5 se incluye de forma predeterminada, e IIS también ofrece varias opciones de configuración para ejecutarlo junto con ASP.NET 3.5. ^{[ 24 ]}
• Compatibilidad con certificados SSL centralizados: una función que facilita la gestión de certificados al permitir al administrador almacenar y acceder a los certificados en un recurso compartido de archivos. ^{[ 25 ]}
• Escalado multinúcleo en hardware NUMA : IIS 8.0 proporciona varias opciones de configuración que optimizan el rendimiento en sistemas que ejecutan NUMA, como ejecutar varios procesos de trabajo bajo un grupo de aplicaciones, usar afinidad blanda o dura y más. ^{[ 26 ]}
• Compatibilidad con el protocolo WebSocket ^{[ 27 ]}
• Indicación de nombre de servidor (SNI): SNI es una extensión de Transport Layer Security que permite vincular varios sitios web con diferentes nombres de host a una única dirección IP (de forma similar a como se utilizan los encabezados de host para sitios que no utilizan SSL). ^{[ 28 ]}
• Restricciones dinámicas de direcciones IP: una función que permite a un administrador bloquear dinámicamente direcciones IP o rangos de direcciones IP que llegan al servidor con una gran cantidad de solicitudes ^{[ 29 ].}
• Limitación de CPU: un conjunto de controles que permiten al administrador del servidor controlar el uso de la CPU por cada grupo de aplicaciones para optimizar el rendimiento en un entorno multiusuario ^{[ 30 ].}

IIS 8.5 incluye varias mejoras relacionadas con el rendimiento en escenarios a gran escala, como los utilizados por proveedores de alojamiento comerciales y las propias ofertas en la nube de Microsoft. También incorpora varias funciones adicionales relacionadas con el registro y la resolución de problemas. Las nuevas funciones son:

• Paginación de procesos de trabajadores inactivos: una función para suspender sitios inactivos para reducir el consumo de memoria de los sitios inactivos ^{[ 31 ]}
• Activación dinámica del sitio: una función que registra colas de escucha solo en sitios que han recibido solicitudes ^{[ 32 ].}
• Registro mejorado: una función que permite la recopilación de variables del servidor, encabezados de solicitud y encabezados de respuesta en los registros de IIS ^{[ 33 ].}
• Registro ETW: un proveedor ETW que permite recopilar registros en tiempo real utilizando varias herramientas de seguimiento de eventos ^{[ 34 ].}
• Reenlace automático de certificado: una función que detecta cuándo se ha renovado un certificado de sitio y vuelve a enlazar automáticamente el sitio a él ^{[ 35 ].}

Según Netcraft , en febrero de 2014, IIS tenía una "cuota de mercado de todos los sitios" del 32,80%, lo que lo convertía en el segundo servidor web más popular del mundo, por detrás de Apache HTTP Server, con un 38,22%. Netcraft mostró una tendencia al alza en la cuota de mercado de IIS desde 2012 .[ ^{50 ]} Sin embargo, el 14 de febrero de 2014, W3Techs mostró resultados diferentes. Según W3Techs, IIS es el tercer servidor web más utilizado, detrás de Apache HTTP Server (1.er lugar) y ^Nginx . Además, muestra una tendencia a la baja constante en el uso de IIS desde febrero de 2013.. ^{[ 51 ]}

Los datos de Netcraft de febrero de 2017 indican que IIS tenía una "cuota de mercado del millón de sitios más visitados" del 10,19%, lo que lo convierte en el tercer servidor web más popular del mundo, por detrás de Apache con un 41,41% y nginx con un 28,34%. ^{[ 52 ]}

IIS 4 e IIS 5 se vieron afectados por la vulnerabilidad de seguridad CA-2001-13 que condujo al infame ataque Code Red ; ^{[ 53 ] [ 54 ]} sin embargo, las versiones 6.0 y 7.0 no tienen problemas reportados con esta vulnerabilidad específica. ^{[ 55 ]} En IIS 6.0 Microsoft optó por cambiar el comportamiento de los controladores ISAPI preinstalados , ^{[ 56 ]} muchos de los cuales fueron culpables de las vulnerabilidades de 4.0 y 5.0, reduciendo así la superficie de ataque de IIS. ^{[ 54 ]} Además, IIS 6.0 agregó una característica llamada "Extensiones de servicio web" que impide que IIS inicie cualquier programa sin el permiso explícito de un administrador.

Por defecto, IIS 5.1 y versiones anteriores ejecutan sitios web en un único proceso que se ejecuta en el contexto de la cuenta del sistema, ^{[ 57 ]} una cuenta de Windows con derechos administrativos. En la versión 6.0, todos los procesos de manejo de solicitudes se ejecutan en el contexto de la cuenta de Servicio de red, que tiene privilegios significativamente menores, por lo que si hubiera una vulnerabilidad en una función o código personalizado, no necesariamente comprometería todo el sistema dado el entorno aislado en el que se ejecutan estos procesos de trabajo. ^{[ 58 ]} IIS 6.0 también contenía una nueva pila HTTP del kernel ( http.sys) con un analizador de solicitudes HTTP más estricto y una caché de respuestas tanto para contenido estático como dinámico. ^{[ 59 ]}

Según Secunia , a junio de 2011 IIS 7 tenía un total de seis vulnerabilidades resueltas, mientras que ^{[ 55 ]} IIS 6 tenía un total de once vulnerabilidades, de las cuales una aún no había sido parcheada. El aviso de seguridad sin parchear tiene una calificación de gravedad de 2 sobre 5. ^{[ 55 ]}

En junio de 2007, un estudio de Google sobre 80 millones de dominios concluyó que, si bien la cuota de mercado de IIS era del 23 % en ese momento, los servidores IIS alojaban el 49 % del malware mundial, la misma proporción que los servidores Apache , cuya cuota de mercado era del 66 %. El estudio también observó la ubicación geográfica de estos servidores infectados y sugirió que la causa podría ser el uso de copias no autorizadas de Windows que no podían obtener actualizaciones de seguridad de Microsoft. ^{[ 60 ]} En una publicación de blog del 28 de abril de 2009, Microsoft señaló que proporciona actualizaciones de seguridad a todos sin una verificación genuina. ^{[ 61 ] [ 62 ]}

Las revelaciones sobre la vigilancia masiva de 2013 hicieron más conocido que IIS es particularmente deficiente en cuanto a la compatibilidad con el secreto perfecto hacia adelante (PFS), especialmente cuando se utiliza junto con Internet Explorer. Poseer una de las claves secretas asimétricas de largo plazo utilizadas para establecer una sesión HTTPS no debería facilitar la obtención de la clave de sesión de corto plazo para descifrar la conversación, incluso posteriormente. El intercambio de claves Diffie-Hellman (DHE) y el intercambio de claves Diffie-Hellman de curva elíptica (ECDHE) eran, en 2013, los únicos conocidos que poseían esta propiedad. Solo el 30 % de las sesiones de Firefox, Opera y Chromium Browser lo utilizaban, y casi el 0 % de las sesiones de Safari de Apple y Microsoft Internet Explorer. ^{[ 63 ]}

• Analizador de registros
• Servidor web personal de Microsoft
• Servicios de activación de Windows
• Comparación de servidores web
• Lista de servidores de correo

• Sitio web oficial