Σύνδεση LocalSystem σε διαμεσολαβητή NTLM με τον λογαριασμό υπολογιστή
Ελέγξτε την ταυτότητα δικτύου που παρουσιάζει μια υπηρεσία Windows αντί να υποθέσετε ότι χρησιμοποιεί τον λογαριασμό διαμεσολαβητή του χρήστη επιφάνειας εργασίας.
Μια σύνδεση μέσω προγράμματος περιήγησης που πετυχαίνει για το άτομο στην επιφάνεια εργασίας δεν αποδεικνύει την ταυτότητα μιας υπηρεσίας LocalSystem. Το LocalSystem συνδέεται με τον υπολογιστή και δεν είναι ο συνδεδεμένος χρήστης.
Όταν η εφαρμογή χρησιμοποιεί το πλαίσιο ασφαλείας των Windows για έλεγχο ταυτότητας στον διαμεσολαβητή, εξετάστε ποιον λογαριασμό λαμβάνει πράγματι ο διαμεσολαβητής. Σε μηχάνημα ενταγμένο σε τομέα αυτός μπορεί να είναι ο λογαριασμός υπολογιστή και όχι ο λογαριασμός του εργαζομένου.
Τα Windows διαθέτουν ειδική πολιτική με όνομα Network security: Allow Local System to use computer identity for NTLM. Ελέγχει τις υπηρεσίες LocalSystem που χρησιμοποιούν Negotiate όταν υποβιβάζονται σε NTLM. Η υποστηριζόμενη πολιτική και η προεπιλογή της διαφέρουν μεταξύ ιστορικών εκδόσεων των Windows.
Ο πελάτης HTTP πρέπει επίσης να χρησιμοποιεί υποστηριζόμενη διαδρομή ελέγχου ταυτότητας διαμεσολαβητή και να ζητά τα προβλεπόμενα διαπιστευτήρια. Η πολιτική από μόνη της δεν προσθέτει υποστήριξη ελέγχου ταυτότητας σε έναν τυχαίο πελάτη.
Συγκρίνετε τον ρυθμισμένο λογαριασμό της υπηρεσίας, τη μέθοδο ελέγχου ταυτότητας που διαπραγματεύτηκε και την εγγραφή εξουσιοδότησης του διαμεσολαβητή πριν αλλάξετε την πολιτική. Η παροχή πρόσβασης σε έναν εργαζόμενο δεν παρέχει αυτόματα την ίδια πρόσβαση στον λογαριασμό υπολογιστή.