Autenticación integrada de Windows

La autenticación integrada de Windows ( IWA ) ^{[ 1 ]} es un término asociado a los productos de Microsoft que se refiere a los protocolos de autenticación SPNEGO , Kerberos y NTLMSSP con respecto a la funcionalidad SSPI introducida con Microsoft Windows 2000 e incluida en sistemas operativos posteriores basados ​​en Windows NT . El término se usa más comúnmente para las conexiones autenticadas automáticamente entre Microsoft Internet Information Services , Internet Explorer y otras aplicaciones compatibles con Active Directory .

IWA también se conoce con varios nombres como autenticación HTTP Negotiate , autenticación NT , ^{[ 2 ]} autenticación NTLM , ^{[ 3 ]} autenticación de dominio , ^{[ 4 ]} autenticación integrada de Windows , ^{[ 5 ]} autenticación de desafío/respuesta de Windows NT , ^{[ 6 ]} o simplemente autenticación de Windows .

La autenticación integrada de Windows utiliza las funciones de seguridad de los clientes y servidores de Windows. A diferencia de la autenticación básica o la autenticación digest , inicialmente no solicita al usuario un nombre de usuario ni una contraseña. La información del usuario de Windows en el equipo cliente la proporciona el navegador web mediante un intercambio criptográfico que implica el uso de funciones hash con el servidor web. Si el intercambio de autenticación inicial no logra identificar al usuario, el navegador web le solicitará un nombre de usuario y una contraseña de su cuenta de Windows.

La autenticación integrada de Windows (IWA) no es un estándar ni un protocolo de autenticación. Cuando se selecciona IWA como opción de un programa (por ejemplo, en la pestaña Seguridad de directorio del cuadro de diálogo de propiedades del sitio IIS ) ^{[ 7 ],} esto implica que los mecanismos de seguridad subyacentes deben utilizarse en un orden preferencial. Si el proveedor Kerberos funciona y se puede obtener un ticket Kerberos para el destino, y cualquier configuración asociada permite la autenticación Kerberos (por ejemplo, la configuración de sitios de intranet en Internet Explorer ), se intentará el protocolo Kerberos 5. De lo contrario , se intentará la autenticación NTLMSSP . Del mismo modo, si se intenta la autenticación Kerberos, pero falla, se intentará NTLMSSP. IWA utiliza SPNEGO para permitir que los iniciadores y aceptadores negocien Kerberos o NTLMSSP. Utilidades de terceros han extendido el paradigma de autenticación integrada de Windows a sistemas UNIX, Linux y Mac.

La autenticación integrada de Windows funciona con la mayoría de los navegadores web modernos, ^{[ 8 ]} pero no funciona con algunos servidores proxy HTTP . ^{[ 7 ]} Por lo tanto, es más adecuada para su uso en intranets donde todos los clientes se encuentran dentro de un mismo dominio . Puede funcionar con otros navegadores web si se han configurado para pasar las credenciales de inicio de sesión del usuario al servidor que solicita la autenticación. Cuando un proxy requiere autenticación NTLM, algunas aplicaciones como Java pueden no funcionar porque el protocolo no está descrito en la RFC-2069 para la autenticación de proxy.

• Internet Explorer 2 y versiones posteriores. ^{[ 7 ]}
• En Mozilla Firefox para sistemas operativos Windows, los nombres de los dominios/sitios web a los que se debe pasar la autenticación se pueden ingresar (separados por comas para varios dominios) en " network.negotiate-auth.trusted-uris " (para Kerberos) o en el Nombre de preferencia " network.automatic-ntlm-auth.trusted-uris " (NTLM) en la página about:config . ^{[ 9 ]} En los sistemas operativos Macintosh, esto funciona si tiene un ticket Kerberos (use negotiate). Algunos sitios web también pueden requerir la configuración de " network.negotiate-auth.delegation-uris ".
• Opera 9.01 y versiones posteriores pueden usar NTLM/Negotiate, pero usarán la autenticación básica o Digest si el servidor la ofrece.
• Google Chrome funciona a partir de la versión 8.0.
• Safari funciona una vez que se dispone de un ticket Kerberos.
• Microsoft Edge 77 y versiones posteriores. ^{[ 10 ]}

iOS admite Kerberos de forma nativa mediante la extensión de inicio de sesión único de Kerberos . Configurar esta extensión permite que Safari y Edge utilicen Kerberos.

Android tiene soporte para SPNEGO en Chrome , que está agregando soporte para Kerberos con una solución como Hypergate Authenticator .

• SSPI (Interfaz del proveedor de soporte de seguridad)
• NTLM (Administrador de LAN NT)
• SPNEGO (Mecanismo de Negociación GSSAPI Simple y Protegido)
  • GSSAPI (Interfaz de programación de aplicaciones de servicios de seguridad genéricos)

• Discusión sobre IWA en la Referencia Técnica de Microsoft IIS 6.0