Intranet Web应用程序的http或https身份验证

Question

我正在开发一个Intranet应用程序,我想进行安全身份验证.

一种方法可以使用"https".问题是服务器没有可信证书,因此对客户端来说有点烦人,因为浏览器不信任证书和投诉带有可怕的消息.

使用http会破坏用户密码,但可以与"摘要访问身份验证 " 结合使用

你怎么看？

Answer 1

截至2015年11月,您无法购买内部域的证书,因为据我所知,唯一的选择是在客户端上预安装证书.不是一个好的解决方案

如果你想使你的内部域私人另一个possability是创建一个公共领域:mycompany.com,然后在内部能解决您的内部域运行自己的DNS服务器: accounting.internal.mycompany.com,hr.internal.mycompany.com等等.然后我相信你可以使用通配符证书mycompany.com.我还没有测试过这个解决方案.

Answer 2

购买域名和可信证书？如果你到处逛逛,它们真的不再贵了.

话虽如此,摘要访问身份验证对于身份验证是相当安全的.使用http而不是https,即使密码不是,您通过网络发送的所有信息都将是纯文本.任何可以将笔记本电脑插入运行WireShark等应用程序的Intranet的人都可以查看来回发送的所有信息.如果您关心的信息没有受到损害,http将无法满足您的需求.

Answer 3

这些是（y）我们的选择：

1. 如果您主要拥有 Windows 主机，则可以使用组策略将证书分发到客户端计算机 | Microsoft Docs 并以这种方式使用您自己的自签名证书。

   • 非 Windows 用户或不在域中的 Windows 机器将不得不通过手动正确安装证书或允许自签名证书的箍和警告。糟糕的用户体验。

2. 您使用了正确的域名、真实的证书和凌乱的 DNS 配置，其中 www.mycompany.com 解析为外部站点，而 wiki.mycompany.com 是内部站点（但请不要将内部地址放在wiki.mycompany.com 在外部可见的 DNS 记录中！）

3. 您根本不使用 HTTPS，而是使用 HTTP。可能是通过为登录页面发明自己的安全性（哎呀！）

他们都很烂。

特别是如果您想分发企业就绪的现场应用程序，并且事先不知道客户的网络和 DNS 配置。