Subversion mit SSPI Modul HTTP vs HTTPS

Question

Ich bin ein Upgrade unserer SVN-Server und wollen Windows-Authentifizierung statt htpassword Dateien ändern. Ich habe das Modul installiert und kann es auf erhalten läuft HTTP oder HTTPS .

die repos Zugriff, mit TortoiseSVN , ich habe 2 Szenarien:

1. Der Zugriff, wenn SSPI + HTTPS Setup ist. Login automatisch und funktioniert wie ein Charme:)

2. Der Zugriff, wenn SSPI + HTTP Setup ist. Login erfordert mir meine Domain Benutzernamen und Passwort in TortoiseSVN geben, was in Ordnung ist, wie ich TortoiseSVN fragen kann meine Zugangsdaten zu erinnern.

Meine Fragen sind:

Wenn ich SSPI + HTTP anstelle von SSPI + HTTPS sind meine Passwort und Benutzername dann verschlüsselt?

Der Grund, warum ich gefragt habe, ist, dass wir auf einem LAN sind und niemals für den Zugriff von außen möglich sein und SSL ist kindda Overkill wie es alles macht eher langsam: S. So würde ich es vorziehen, die Verwendung von HTTP + SSPI.

Ich suchte nach meinem Passwort im Netzwerk mit Wireshark und hatte kein Glück, was bedeuten würde, dass die Anmeldeinformationen in der Tat :) verschlüsselt sind. finden kann nur eine Linie, die ich vermute, ist mein Benutzer +, das aussah, so etwas wie dies passiert: Authorization: Grund Yh2_3 m% erTo_d4fre

Wenn jemand das für mich clearify oder besser verbinden mich noch an eine Stelle, die besagt, dass Passwörter verschlüsselt sind bei der Verwendung von SSPI + HTTP , würde ich am meisten gratefull sein.)

Mit freundlichen Grüßen Garrett

** * ** * ** * ** * ** * ** * ** * * EDIT * ** * ** * ** * ** * ** * ** * ** *

Es scheint, ich misunderstod etwas sehr Wichtiges haben. Bitte überprüfen, ob ich richtig:):

SVN Zugriff, wenn SSPI + HTTP aktiviert ist, bedeutet es eigentlich, dass SSPI deaktiviert ist und dass ich verwende Grund Auth beim Zugriff, als SSPI erfordert SSL. Was bedeutet, dass mein Benutzername und Passwort nur über die mild Grund Auth-Verschlüsselung, nichts wie SSL-Verschlüsselung.

Der einzige Ort, an dem das SSPI Modul das Bild gelangt ist, dass es das erhält Benutzername + gibt von Basic Auth und dann verwendet sie diejenigen, die die Benutzer gegen die Domäne , um zu überprüfen (in eine sichere Art und Weise natürlich ???) .

Das ist, was ich abziehen könnte, wenn die Dokumentation zu lesen wieder einmal. Kann jemand überprüfen, ob ich dieses Recht bekommen haben?

Mit freundlichen Grüßen

Garrett

Answer 1

UPDATE : Das Verhalten in Subversion 1.8.0 geändert: jetzt Subversion-Client automatisch mit authentifizieren SPNEGO / NTLM-Protokoll, wenn Server unterstützt wird. D. h Standardwert für http-auth-types Konfigurationsoption ist negotiate;ntlm;basic

In der Standardeinstellung Subversion Netzwerk-Bibliothek verwendet Verhandeln / NTLM nur für HTTPS-Verbindungen.

Zitiert VisualSVN Server KB-Artikel , die anwendbar für alle Subversion-Client / Server : http://www.visualsvn.com/support/topic/00040/

Zum Schutz vor Lauschern und Man-in-the-Middle-Angriffen es wird nicht empfohlen, die Verwendung von NTLM / Verhandeln Authentifizierung über das unsichere HTTP-Protokoll. Deshalb ist diese Option ist standardmäßig deaktiviert.

Aber wenn Sie gezwungen sind, das HTTP-Protokoll zu verwenden, können Sie recon Subversion Clients manuell. NTLM / Verhandeln Authentifizierung über das HTTP-Protokoll aktiviert werden kann, um den http-auth-Typ mit Subversion Konfigurationsoption. Der Standardwert für diese Option ist "http-auth-types = basic". Um NTLM zu ermöglichen / Verhandeln Authentifizierung sollten Sie diesen Wert ändern zu „http-auth-types = Grund; verhandeln“.

auch Der Artikel hat den Schritt-für-Schritt-Anleitungen, wie man Änderung Subversion Konfiguration.