站长资讯通告:
简介
Microsoft(r) Internet Information Server (IIS)与Microsoft Windows NT(r) Server操作系统紧密结合在一起，为企业提供了最强大的Web服务器，让企业能够充分利用Internet和内联网络所带来的好处，同时也为应用程序和信息提供了最高水平的安全性保障。
这种集成意味着IIS提供了同样强健有力的安全性保障，它被内置到Windows NT的核心深处。Windows NT非常符合美国政府的C2 安全性评价所规定的安全性标准。在NCSC中注明了一个操作系统在设计时就要满足的有关安全方面的苛刻要求，这些都在Windows NT 操作系统的最终评估报告中写清楚了：“尽管安全性并不是最初设计时的全部要求，但在后来的附件中它的作用越来越重要，这些附件都能够为Windows NT 所提供的分布式系统资源提供一种统一的处理。“
集成的安全性
Windows NT 积极有效的安全性结构被使用于所有的系统组件中，它能够通过验证身份来控制对所有系统资源的访问。IIS被集成到Windows NT安全性模型以及操作系统服务如文件系统和目录等等中。因为IIS 使用的是Windows NT Server的用户数据库，管理员无须在每个Web服务器上建立单独的用户帐户，同时一个企业内部网络的用户只需要登录到他们的网络中一次就可以了。IIS在现有的文件服务器，打印服务器以及应用程序服务器上会自动的使用同样的文件和组许可。
有些Web服务器会在操作系统的顶层安装自己的安全性工具，这么做会引起更多的管理开支，同时会因为缺乏集成和同步而可能存在的安全性问题。Windows NT Server设计时就注意了安全性问题。只有取得相应的许可后才能够对文件和系统对象进行访问。用户和组帐户是通过全局性的唯一的验证来管理的。当一个帐户被删除之后，与之相对应的所有访问许可和组成员身份都被一起删除了。因此，即便一个新帐户是以被删除帐户的用户名来建立的，许可也不会被继承。
易于管理
控制对文件和目录进行访问的许可能够进行图形化的设置，因为IIS 与其他的Windows服务如文件共享或者是Microsoft SQL Server(tm)许可等一样，使用的是同一个Windows NT Server Access Control Lists (ACLs)。Web 服务器的许可与其他的文件服务的许可是一致的，因此同一个文件能够通过其他协议被安全地访问，如FTP，CIFS/SMB，或者是没有复制管理的NFS等。
管理员不需要维护用户数据库的多个设置，上百个企业内部网络服务器的所有服务能够通过一个图形化的工具来轻松管理。IIS和Windows NT Server 4.0是唯一能够保证管理员只需鼠标轻轻一点就能够让新用户访问有价值的网络资源的平台。这些资源包括HTML网页，共享文件，打印机，共同的数据库，以及在所有服务器上继承下来的应用程序。
IIS生成了标准的Web服务器访问日志，可以用于分析使用情况。与Windows NT Server 集成还意味着IIS能够利用系统审核来更多的进行资源使用的安全监视。例如，一次对有安全性要求的文件进行访问的尝试如果失败，在Windows NT Event Log中会有所记录，同时还能够用与管理现有的服务器所使用的相同工具来进行审核。
全面的解决方案
IIS充分利用了与Microsoft Proxy Server, Certificate Server, Site Server, BackOffice(r)以及其他应用程序之间高度地集成，它提供了一个完整而强健的平台，并且内置了广泛的安全性功能。
只有IIS 和Windows NT Server 能够为迅速建立强健的，可伸缩的Web服务器提供了一个完全的平台，这些服务器对于公共站点和企业内部网络站点来说都是安全的。因为建立Web 服务是Windows NT Server 操作系统核心的一部分，所以Microsoft IIS提供了高性能的，易于管理的，非常出色的安全特性。所有这些使得IIS成为与现有解决方案相集成的最佳平台，同时也是产生新一代Web应用程序的最佳平台。
为什么安全性很重要？
企业内部网络的引入意味着打开了一扇巨大的机会之门，它让我们能够更好地访问信息，它促进了企业业务发展，并且建立了一种新的企业模式。然而Web的开放性和它所扮演的信息和其他企业系统资源之门的角色决定了在使用Web服务器时要强调它必须具有可靠的安全性基础；同时Web服务器必须紧密地集成到网络和应用程序所运行的下一级操作系统中去。例如，在下列情况中安全性是非常重要的：
* 应用程序和数据库安全性
* 电子商务
* 商业关系和外延网络
* 与客户相联系
* 数据库和应用程序的访问
* 应用程序和数据库的安全性
应用程序和数据库安全性
在数据库和其他现有的商业系统中，Web浏览器正越来越多的被用于提供对信息和应用程序的访问。例如，有许多企业允许雇员通过Web浏览器来管理他们的个人信息和收益规划。这些商业系统必须受到保护，用户只允许访问他们被授权访问的那些应用程序，这样雇员就只能够更改自己的个人信息了。这就要求首先验证用户，确定他们是不是他们自己所说的那个人，并且确定他们是否有权利查看这些信息或者是否有权利要求完成他们所提出来的任务。最后一步通常要求与现有的信息系统相结合。此外，客户和服务器之间的信息交换必须通过一个安全的通道来进行，以确保私人信息的传送。Windows NT Server和IIS提供了这些综合的服务，它们能够让企业安全地把Web与数据库和商业应用程序连接起来。
电子商务
电子商务的安全性等级要比目前在许多公司网络所采用的高很多。由于缺乏可以为大家所接受的保护措施，验证措施，以及适当的付款方式，电子商务的潜在能量长期以来一直不为大家所认识。而如果使用得当，Internet 的确是一个做生意的好地方。IIS完整的安全性技术和服务以及Microsoft Site Server Enterprise一起为使用Windows NT Server构建一个安全应用程序提供了一个坚实的基础下部结构。
商业关系和外延网络
商业伙伴关系能够从使用电子信息的传递和通讯所带来的效率的大幅度提高中获益非浅。许多公司希望在把选择性的信息对第三方开放的同时还保持着完全的安全性。例如，一个公司会给予零售商一定的权利，让他能够访问他们自己的内部客户信息数据库，从而加快销售领头人的产生。但是，如果一个公司把网络面向承包人，供应商，以及其他商业伙伴开放，安全性就变得非常重要了。当允许外来人员访问信息或者数据库时，服务器必须能够鉴别并且验证用户的身份，还必须要设置访问控制让管理员能够决定那些区域是客户可以访问的区域。此外用户还必须要能够秘密地传送信息，这样机密信息在网络中传递时才不会被截取。通过使用公共密匙技术，Challenge Access Protocol，以及其他高级安全特性，IIS为企业内部网络面向外部世界的开放部分提供了所需要的安全保障。有时候，我们把在公司内部网络和公众Internet之间的这一安全地带叫做外延网络。
与客户联系
目前一个通过Internet提供服务的公司要管理许多个用户名和密码。个人数字证书提供了一种安全有效的方法来鉴别客户，并且能够存储一些根据每个客户购买模式和其他一些重要的特征来定制的数据，这有助于提高客户服务的效率。例如，公司能够根据每个客户所预定的服务来给他颁发证书。具体来说，在一个在线体育信息服务的例子中，也许某个人只预定了足球信息，而另外一个人预定了高尔夫球的信息，第三个人则预定了全部的体育信息。客户会获得相应的个人数字证书，它映射到一个Windows NT的帐户组中，有权访问站点中的某个特定部分。有了Microsoft Site Server，一个Web站点就能够轻易地跟踪个人的使用情况以及相关的信息，增加用户的经验。
使用安全性的框架
微软公司设计的IIS 和Windows NT Server为管理员提供了一个强有力的框架来配置Web服务器。此外，IIS和Windows NT Server还为管理员提供了一个单一的综合的安全模型。换一句话说就是，IIS的安全性充分与Windows NT 的安全性结合来了。这就带来了很多优势，包括下列功能：
* 充分利用了根据美国政府C2 和ITSEC FC2而制定的Windows NT的安全性这一强大的安全基础。
* 通过不增加多余的安全层减少出现安全薄弱环节和漏洞的可能。这一点把IIS与其他的操作系统和Web服务器区分开来，它们都有很多安全层，这就增加了它们的复杂性以及出现安全漏洞的可能性。
* 利用现有的Windows NT的知识，易于学习和配置。
* 减少额外的安全和访问控制层所引起的不必要的开支，优化性能。
它所提供的框架能够让管理员决定所有的事情，从在Web服务器上要用哪一类型的终端用户验证，到Web服务器如何能够自己物理锁死都可以。
访问控制
IIS侧重的最重要的部分中有一点是关于提供强大的访问控制功能的，它能够访问服务器上的文件和应用程序。IIS能够很容易地根据公司的需求在重要的商业数据上使用一个广泛的访问控制机制。其中包括下列部分：
* 支持Windows NT Challenge/Response (NTLM)验证
* IP地址准许/拒绝限制
* 在虚拟服务器和目录中实现限制的能力
* 支持Windows NT File System (NTFS)
* 以用户的身份运行应用程序
* 客户和服务器数字证书
* 高级安全过滤器
* 用户身份验证和授权
用户验证
IIS安全是与Windows NT Directory Service结合在一起的，每一个资源只有有效的Windows NT用户帐户才能够访问。管理员能够充分运用Windows NT Directory Service的帐户管理的权利，包括审核和记录所有操作的能力，以及设置日期限制时间，溢出密码和强制安全口令策略的能力。
匿名访问
在安装的时候，IIS就建立了一个匿名帐户给未经验证的Web连接使用。当文件没有安全要求时，访问请求由服务器在这个匿名用户帐户的安全范围内处理。匿名帐户只能够访问被授予许可的文件和应用程序。
用户名和密码
文件和应用程序可以被限制为只有特别的用户或组才能访问。这就要求获取用户的名字并且验证它。IIS可以配置成要求基本的HTTP验证。首先要用户给出自己的用户名和密码，然后把它与Windows NT Server目录中的帐户相比较。不过在基本验证中，用户名和密码在网络传递的过程中是明文出现的，这就会给网络信息的偷窥者以可乘之机。
设置Windows的询问回应安全性
IIS 还支持Windows NT Challenge/Response (NTLM)验证，它采用了一种加密的技术来验证密码；真正的密码并不通过网络传送。因为每一个连接都是直接映射到Windows NT用户帐户的，所以在Windows NT 域中登录到所有的服务器和服务都只需要一次登录，就像在企业内部网络中一样，Internet用户能够从中获益不少。
目前Microsoft Internet Explorer 3.0（及以后版本）都能够支持NTLM。在IIS Software Developer's Kit中包括文档和样本源代码，这样其他的软件供应商也许就会在他们的浏览器和应用程序中支持NTLM。
数字证书
IIS 能够用X..509证书来控制访问。一份证书能够验证用户的身份，其作用与司机的驾驶执照或者是公司身份卡的作用是一样。它由一家可信任的认证权威机构来颁发，该机构可以是公司内部的机构，也可以是像Verisign一样的公众公司。在颁发证书时，IIS检查用户身份或者是凭证的严格程度取决于在访问信息或应用程序时所要求的安全等级或者信任程度。用户在签署他们的证书时要键入一个密码，用户在每一次使用该证书的时候都要输入这个密码。就像司机的驾驶执照一样，仅仅只是拿着它并不意味着你就是它的主人。因为只有证书的主人才知道这个密码，所以密码是检验能否进行访问的关键。
基于证书的客户验证要求协议在客户端和服务器端都能够进行证书的处理，同时还要有相应的请求和回应。服务器证书是面向客户端的，这样客户可验证服务器的身份。当运行Secure Sockets Layer (SSL)时，一台服务器必须有服务器证书。相应地，服务器也可以要求查看客户端的证书。在服务器证书中要包含Web站点的名字，以及检查所键入的名字是不是该Web站点的名字的浏览器。
IIS 提供了一系列开放的APIs，开发人员可以用它在定制规则的基础上建立过滤器来验证用户。这就使得管理员能够很灵活地用任何验证方案或者外部目录来控制访问。
访问控制
一旦用户被验证之后，IIS会检查他们是否有权访问他们要求访问的文件或应用程序。
IP地址
在Internet 中，每个服务器和客户（或者是一组客户的代理服务器）都有一个特殊的Internet地址叫做“IP地址”。IIS能够配置成允许或者拒绝特殊的IP地址的访问。这样管理员就能够通过拒绝访问来把一个IP地址范围中的某个特别的地址排除在外，或者还能够拒绝某个网络中的全体成员访问某个服务器。反过来说，管理员也能够选择只允许特别的IP地址访问服务。
Windows NT File System 许可
Windows NT File System (NTFS)能够满足高端Web服务器的安全需求，不论是用于企业内部网络的方案还是用于Internet 的方案。NTFS文件系统支持任何的访问控制和所有权特权，它们对于维护重要的商业数据的完整性十分重要。NTFS允许管理员为每个单独的文件分配权限，而不仅仅是对文件夹和目录才可以。通过对由IIS提供的内容使用NTFS文件系统，管理员能够做到在Web服务器中个别的人访问个别的文件。
只要关于用户IP地址的限制满足了，且用户名和密码都是有效的，同时服务的虚拟目录权限也完成了，此时，IIS就能够用已验证用户的安全关系访问特定的资源（基于URL）。Windows NT Server在NTFS资源权限的基础上加强了访问控制，让管理员能够对敏感的资源和数据进行极为细致的控制。
Windows NT 用一个全局地唯一的安全标识（SID）来鉴别每一个用户。SID在后台与用户的帐户名相映射，所以文件权限和组帐户是用一个相关的名字来进行管理，用SID来使用。当一个帐户被删除之后，所有分配给该帐户的ACLs和组的所属关系都会随之而一同去掉。SID和同步性保证了后面用相同的用户名创建的帐户不会继承原帐户的权限。
模仿
IIS在用户请求的文件的安全关系范围内以及对那些能够被访问的限制范围内访问所有的文件，运行所有的应用程序。这是在服务器管理中特定的匿名用户帐户，或者是一个已经经过验证的用户帐户的功能。这就意味着在用户目录中的一个CGI应用程序或者组件不能够访问受其他用户或服务器管理员限制的数据或者服务。此外，应用程序开发者还在开发应用程序时有很大的灵活性，这就比所有的代码都要在服务器本身的安全关系范围内运行要方便得多。模仿则让基于Web的应用程序能够安全地用于应用程序或者类似管理员操作的函数，它们必须同时限制谁能够访问应用程序以及允许他们进行哪些操作。
IIS服务中的许可
Internet Information Server让管理员能够在虚拟目录下进行只读或者只能执行的权限设置。对于每一个请求，IIS要检查URL和请求的类型，同时还要确定是否在虚拟目录中设置了权限。这就保证了用户不能读取具有只执行权限的文件或者执行具有只读权限的文件。
访问审核
审核安全事件是测定是否有用户试图访问你的Web服务器中的安全内容的几种方法之一。IIS支持两种形式的登录窗体。第一种是标准的Web服务器访问登录，它将记录下所有的文件，对象请求，以及错误。第二种窗体运用了Windows NT Server的能力，让管理员能够记录并且审核所有想通过Windows NT Server Event Viewer来突破安全防范的尝试。例如，在一个安全的企业内部网络的Web服务器上，管理员能够记录下面这些：
* 所有对服务器上文件的访问
* 无效的登录尝试
* 所有的登录
登录审核除了用于为了增加安全监视而采取的Web服务器的访问日志和为了防止不同的权限而采取的复制日志之外，还有其他用途。微软公司还建议客户监视审核日志，该日志是由IIS提供的，这么做是因为有一些黑客在企图访问你的Web服务器中的安全信息失败后往往会想要抹去一切痕迹。限制对日志的访问并且阶段性的复制这些文件就有可能防止这些做法。
机密性和数据的完整性
在点对点的通讯中，比如在Internet中一个Web浏览器和一个Web服务器之间联系，安全通道技术具有保密性，完整性，和身份验证的特点。微软公司为安全通道通讯提供了SSL 2.0和 3.0以及Private Communications Technology (PCT)，作为Internet Information Server 3.0的一个基本特性。
运行Windows 或者Windows NT 的Internet应用程序开发者能够通过WinInet函数或者通过WinSock 2.0在他们的应用程序中提供SSL支持。Transport Layer Security Protocol (TLS)将提供一个包含SSL和PCT 的单个标准，TLS正在IETF的考虑之中。
机密性
机密性防止了通讯内容的泄露。例如，在一桩银行交易中，就必须要保证只有交易方才能够访问被传送的信息，这一点非常重要。保密机制，如SSL加密通道，用于确保像银行交易等高度机密的交易，在通过Internet 或者其他载体传送时具有安全性。
数据的完整性
完整性确保重要的数据在传送时不会改变。如果要在Internet上进行商业活动，完整性是非常重要的。如果不能确保数据的完整性，购货定单，合同，说明书，或者是购买股票的定单—这里只是随便举了几个例子—都可能被修改，导致很大的损失。这就是为什么IIS要支持数字签名和消息确认编码的原因，它们就像文件的指纹一样，能够帮助辨别和原文件相比，数据是不是有所变化。
数字签名
数字签名能够既用于检验一个用户或者服务器的身份，也能够用来确保一个消息只会被特定的接受者读取。数字签名在电子邮件和文件传递的过程中用来检验身份和加密信息。Web服务器和浏览器也能够利用它来进行手工验证，保证网页传送过程中的机密性以及信息的完整性。给数据加上符号并不会改变数据，它只是产生了一个字符串并附加到数据中。
数字签名是用公共密钥加密法则如RSA公用密钥密码来形成的。一种公共密钥法则实际上用到了两种不同的数学上相互匹配的密钥：公共密钥和私人密钥，它们合起来称为一个密钥对。私人密钥只有拥有者本人才知道，而公共密钥则任何人都可以知道。在公共密钥的设计中，如果一种密钥用于加密，则另外一种密钥用于解密。实际上，私人密钥是无法真正从公共密钥中分离出来的。IIS的证书技术使用的是1024位的公共密钥进行加密，这是非常安全的。
SSL
IIS支持SSL的3.0版本。SSL提供了一种安全的信号交换，它被用来对TCP/IP连接，如一个Web浏览器和一个Web服务器之间的通讯等，进行初始化。SSL在一个秘密的点对点通讯通道中提供了保密性，完整性和身份验证。一个浏览器和服务器用手工验证能够支持使用一定级别的安全性。在请求和反应的数据通过网络连接传递的时候，SSL还为它们提供了可选择的加密和解密，比如说对商店付帐行为中的信用卡信息可以如此。
在世界范围内的自然通讯是完全有可能的，因为SSL使用了RSA中的世界标准的加密技术，微软公司把这一技术封装在每一个操作系统和每一个Internet Explorer的副本中了。为了让SSL与PCT和TLS相适应，微软公司还提议把它扩展到WinSock 2。这一目的是为了使支持SSL的应用程序尽可能的简单，同时又不失足够的灵活性。而一个使用WinSock 2的应用程序就像一个内部地使用协议的应用程序一样安全。
SSL总是提供服务器的身份验证，因为，在建立了一个SSL会话之后，服务器总是会提供一个数字证书给客户。数字证书就像一个电子的许可证或者说一个文档的证明，因为它能够让双方都确定他们是与所要求的服务器进行对话的。浏览器会根据证书检查服务器名，如果不对，它会向用户提出警告。
SET
Secure Electronic Transport (SET)是一个信用卡交易的安全消息协议。SET是由Visa 和MasterCard在Microsoft, IBM, GTE, Netscape, 等其他公司的帮助下开发的。SET能够验证持卡人，贸易商，以及其他人的身份，它能够保留付款数据的机密性而不会加密定货说明书和其他的非机密性的信息。与SSL之类的安全通道服务不同的是，SET使用的是56位的Data Encryption Standard (DES)加密，并且要求用数字签名来检验有关各方的身份。通过使用多方消息，让信息直接对银行加密，SET就能够防止信用卡号被别人误用。
为了保证数据的完整性，使数据在传送过程中不会被篡改，SSL使用了消息摘要MD-5，和RC-4流密码来保护秘密。RC-4加密法在美国本土可以用到128位，而在北美以外的地区可以用到40位。
因为SET的说明书不需要许可证，并且它具有可互操作性以及对所有参与者都公开的特性，可以预见的是，大多数软件公司都会采用SET来进行电子商务交易。它第一次被采用是在1997年。微软公司为商人，让受人，以及付款处理器提供工具，帮助他们建立与SET相适应的应用程序。同时，因为它的目的是为了让所有的与SET相适应的软件能够轻松获得进出口批准，所以Visa 和MasterCard正致力于政府所关注的SET的加密用途。
数字证书通过财务制度以及Visa 和MasterCard的付款系统把持卡者和商家联系起来，通过增加数字证书，SET为客户提供了比现今技术所能提供的更好的安全保障。把SET和信用卡处理系统结合起来能够让持卡者和商家对他们的交易的安全性更加放心。
点对点通道协议（PPTP）
微软公司的虚拟专用网络（VPN）技术是基于点对点通道协议（PPTP）的，它用于通过如Internet一样的公众网络来实现对公司局域网（LANs）更安全，更低成本的远程访问。PPTP是一种新的网络技术，它支持多协议VPNs。使用PPTP，远程用户能够用微软公司的Windows(r) 95 和Windows NT Workstation操作系统或者是其他点对点协议许可的客户端系统来拨通本地的Internet服务供应商，通过Internet安全地与他们公司的局域网相连接。VPN技术为客户们提供了一种既经济又易于实现的方案，让他们能够通过Internet建立安全而保密的通讯。
PPTP还能够用于密集而且集成的通讯方案来支持V.34和综合服务数字网络（ISDN）的拨号上网。公司还能通过Internet协议（IP）构架来使用一个PPTP许可的VPN，能够以一种更节省成本，更没有争议，不依赖于协议，更安全而且无须改变现有网络寻址方法的方式来拨号访问他们的公司网络。
开发者的安全函数
Internet Information Server为公司的开发者提供了一个强大的平台来设计基于Web的应用程序。除了Web服务器的Internet Server API (ISAPI) 和Active Server Pages脚本，IIS还提供了下列安全技术来方便开发者：
* 用Microsoft Certificate Server来发布数字证书
* CryptoAPI加密
* 用Active Server Pages来使用SSL证书
用Microsoft Certificate Server来发布数字证书
Certificate Server让企业能够轻松的管理证书的发布，更新，以及撤消，而不需要依赖于外面的权威机构。有了Certificate Server，公司能够完全地控制与证书的发布，管理和撤消有关的策略，以及证书本身的格式和内容。此外， Certificate Server把所有的交易都记如了日志，这样管理员就能够跟踪，审核和管理有关证书的请求了。缺省的策略是把证书授予基于一个预置的Windows NT管理员用户组，帐户，和服务器的信任用户集合。它能够在用户的Windows NT日志的基础上验证用户，并且能够让管理员直接批准或拒绝一个申请证书的请求。
管理员能够发布标准格式的证书（X509版本1或3），同时还能够根据需要进行调整。Certificate Server：
* 接受标准的PKCS#10证书申请。
* 发布PKCS#7形式的X-509版本1和版本3的证书
* 发布SSL客户端和服务器证书
* 发布S/MINE证书
* 发布与SET相适应的证书
* 支持能够编写支持用户格式的开放界面
Certificate Server用微软公司或者非微软公司的客户端，浏览器，和Web服务器进行工作。有很多发布和申请证书的方法，其中包括能够用来定制你的需求的传送机制，你可以从中进行选择。服务器能够用电子邮件，基于轻型目录访问协议（LDAP）的目录服务，或者其他常规机制把证书寄还给用户。
Certificate Server平衡了Microsoft Windows NT Server的可靠性和可伸缩性。它能够被配置在一个大公司的多个服务器中，这需要很大的灵活性。Certificate Server 是在Windows NT 上的多线程服务，它充分利用了Windows NT的多处理器的能力。Certificate Server：
* 作为一个Windows NT服务运行，与操作系统紧密集成。
* 提供了高性能，多线程的证书处理
* 使用CryptoAPI 2.0，能够灵活选择加密程度和加密设备（采用硬件设备或者以软件形式）。
CryptoAPI
CryptoAPI 作为Windows NT 4.0 和Microsoft Internet Explorer 3.0的一部分是用来从开发者那里提取加密细节的。它包括了Cryptographic Service Provider (CSP)界面，这一界面允许开发者在不修改应用程序代码的前提下改变密码的长度和类型，这就使得访问加密变得更容易了。
CryptoAPI把应用程序从自己加密中解脱出来。它提供了对普通密码函数如加密，散列和数字特征等进行可扩展的，可输出的，系统一级的访问。任何用CryptoAPI编写的应用程序都能够使用支持X509标准的证书。这样任何适应标准的应用程序或系统能够从任何平台上访问服务器，其中包括UNIX 和Macintosh平台。
CryptoAPI提供了一系列丰富多样的高级别的APIs，它能够使开发者的标记，密封，加密，解密等工作变得更容易。开发者能够轻易地把身份鉴别和验证集成到应用程序中去，这样就能够通过企业内联网络和Internet 进行安全的私人通讯和数据传送。证书服务的功能包括申请建立证书，存储和检索证书，分列证书等。
与客户证书相互作用
Microsoft Active Server Pages的脚本编写提供了一个与客户证书相互作用的编程方法。证书和它的关键字段能够在脚本中显示，并且能够直接映射，比如，直接映射到服务器方的数据库中。它还能够把客户证书映射到Windows NT的用户帐户中。不仅仅特殊的客户证书能够在多对一的基础上进行映射（也即是说，多个证书能够映射到同一个Windows NT用户帐户中），通配符映射也是可以的。为了有更好的安全性，Active Server Pages还允许Web主人检查客户所提供的证书的内容。
总结
企业内部网络和Internet的配置方案带来了很多机会，这表明了使用一个具有高度安全性的，与操作系统完全集成的Web服务器非常有必要。带Microsoft Internet Information Server的Windows NT Server 4.0提供了理想的Web应用程序平台。因为IIS具有支持X509v3证书技术，RSA公共密钥，SSL 3，Windows NT Challenge and Response，以及其他的安全特性，所以IIS能够为企业提供最高级别的安全保障，确保把企业内部网络向商业伙伴和其他外部资源开放时的安全。
因为网络管理员是安全保障的关键环节，IIS使用Windows NT Server的用户数据库来集中管理每一台服务器的用户，这样管理员就无须维护多个用户数据库了。此外，所有的IIS服务都能够用一种管理工具轻松管理。例如，把IIS用于企业内部网络，管理员就能够轻松地管理上百台内联网络服务器的服务，许可和登录。
微软公司致力于确保IIS的安全和可靠。微软公司把安全性看做是一个连续的过程，定期地把快速维护和服务软件包送到管理员手中，这样管理员就能够马上从中获益。为了方便客户与微软公司联系，解决可能出现的任何问题，这里有一个电子邮箱，地址是：secure@microsoft.com。如果你在使用微软公司的产品时出现了任何安全问题，请发电子邮件到这个信箱。微软公司的产品小组会随时监视这个信箱，对于其中的一部分问题会给予解答。
通过优化Windows NT Server平台，Microsoft Internet Information Server提供了高性能的，易于管理的，优秀的安全性。所有这些使得IIS成为公司开发企业内联网络和Internet的巨大潜力的理想平台—一切都不需要以安全性为代价。
更多信息
想知道关于Windows NT Server的最新信息，请上网查询，网址是：
http://msdn.microsoft.com/isapi/gomscom.asp?Target=/ntserver/default.asp。或者是在Microsoft Network上的Windows NT Server Forum。
1999年微软公司，版权所有，所有权利保留。
在这篇文章里包含的信息代表了微软公司对于目前所讨论的问题截止到公布之日为止的最近的观点。因为微软公司必须对变化的市场条件作出反应，所以不能把它看做是微软公司的承诺。同时，在本文发表之后出现的任何信息，微软公司也不能保证它的准确性。
本文仅仅作提供信息用。在本文中微软公司不做任何担保，表示或者暗示。
Microsoft, BackOffice, the BackOffice logo, Windows,和 Windows NT都是由微软公司在美国或者其他国家已经注册了的商标
在本文中出现的其他产品或公司名也是其相应所有者的注册商标。
Microsoft(r) Internet Information Server (IIS)与Microsoft Windows NT(r) Server操作系统紧密结合在一起，为企业提供了最强大的Web服务器，让企业能够充分利用Internet和内联网络所带来的好处，同时也为应用程序和信息提供了最高水平的安全性保障。
这种集成意味着IIS提供了同样强健有力的安全性保障，它被内置到Windows NT的核心深处。Windows NT非常符合美国政府的C2 安全性评价所规定的安全性标准。在NCSC中注明了一个操作系统在设计时就要满足的有关安全方面的苛刻要求，这些都在Windows NT 操作系统的最终评估报告中写清楚了：“尽管安全性并不是最初设计时的全部要求，但在后来的附件中它的作用越来越重要，这些附件都能够为Windows NT 所提供的分布式系统资源提供一种统一的处理。“
集成的安全性
Windows NT 积极有效的安全性结构被使用于所有的系统组件中，它能够通过验证身份来控制对所有系统资源的访问。IIS被集成到Windows NT安全性模型以及操作系统服务如文件系统和目录等等中。因为IIS 使用的是Windows NT Server的用户数据库，管理员无须在每个Web服务器上建立单独的用户帐户，同时一个企业内部网络的用户只需要登录到他们的网络中一次就可以了。IIS在现有的文件服务器，打印服务器以及应用程序服务器上会自动的使用同样的文件和组许可。
有些Web服务器会在操作系统的顶层安装自己的安全性工具，这么做会引起更多的管理开支，同时会因为缺乏集成和同步而可能存在的安全性问题。Windows NT Server设计时就注意了安全性问题。只有取得相应的许可后才能够对文件和系统对象进行访问。用户和组帐户是通过全局性的唯一的验证来管理的。当一个帐户被删除之后，与之相对应的所有访问许可和组成员身份都被一起删除了。因此，即便一个新帐户是以被删除帐户的用户名来建立的，许可也不会被继承。
易于管理
控制对文件和目录进行访问的许可能够进行图形化的设置，因为IIS 与其他的Windows服务如文件共享或者是Microsoft SQL Server(tm)许可等一样，使用的是同一个Windows NT Server Access Control Lists (ACLs)。Web 服务器的许可与其他的文件服务的许可是一致的，因此同一个文件能够通过其他协议被安全地访问，如FTP，CIFS/SMB，或者是没有复制管理的NFS等。
管理员不需要维护用户数据库的多个设置，上百个企业内部网络服务器的所有服务能够通过一个图形化的工具来轻松管理。IIS和Windows NT Server 4.0是唯一能够保证管理员只需鼠标轻轻一点就能够让新用户访问有价值的网络资源的平台。这些资源包括HTML网页，共享文件，打印机，共同的数据库，以及在所有服务器上继承下来的应用程序。
IIS生成了标准的Web服务器访问日志，可以用于分析使用情况。与Windows NT Server 集成还意味着IIS能够利用系统审核来更多的进行资源使用的安全监视。例如，一次对有安全性要求的文件进行访问的尝试如果失败，在Windows NT Event Log中会有所记录，同时还能够用与管理现有的服务器所使用的相同工具来进行审核。
全面的解决方案
IIS充分利用了与Microsoft Proxy Server, Certificate Server, Site Server, BackOffice(r)以及其他应用程序之间高度地集成，它提供了一个完整而强健的平台，并且内置了广泛的安全性功能。
只有IIS 和Windows NT Server 能够为迅速建立强健的，可伸缩的Web服务器提供了一个完全的平台，这些服务器对于公共站点和企业内部网络站点来说都是安全的。因为建立Web 服务是Windows NT Server 操作系统核心的一部分，所以Microsoft IIS提供了高性能的，易于管理的，非常出色的安全特性。所有这些使得IIS成为与现有解决方案相集成的最佳平台，同时也是产生新一代Web应用程序的最佳平台。
为什么安全性很重要？
企业内部网络的引入意味着打开了一扇巨大的机会之门，它让我们能够更好地访问信息，它促进了企业业务发展，并且建立了一种新的企业模式。然而Web的开放性和它所扮演的信息和其他企业系统资源之门的角色决定了在使用Web服务器时要强调它必须具有可靠的安全性基础；同时Web服务器必须紧密地集成到网络和应用程序所运行的下一级操作系统中去。例如，在下列情况中安全性是非常重要的：
* 应用程序和数据库安全性
* 电子商务
* 商业关系和外延网络
* 与客户相联系
* 数据库和应用程序的访问
* 应用程序和数据库的安全性
应用程序和数据库安全性
在数据库和其他现有的商业系统中，Web浏览器正越来越多的被用于提供对信息和应用程序的访问。例如，有许多企业允许雇员通过Web浏览器来管理他们的个人信息和收益规划。这些商业系统必须受到保护，用户只允许访问他们被授权访问的那些应用程序，这样雇员就只能够更改自己的个人信息了。这就要求首先验证用户，确定他们是不是他们自己所说的那个人，并且确定他们是否有权利查看这些信息或者是否有权利要求完成他们所提出来的任务。最后一步通常要求与现有的信息系统相结合。此外，客户和服务器之间的信息交换必须通过一个安全的通道来进行，以确保私人信息的传送。Windows NT Server和IIS提供了这些综合的服务，它们能够让企业安全地把Web与数据库和商业应用程序连接起来。
电子商务
电子商务的安全性等级要比目前在许多公司网络所采用的高很多。由于缺乏可以为大家所接受的保护措施，验证措施，以及适当的付款方式，电子商务的潜在能量长期以来一直不为大家所认识。而如果使用得当，Internet 的确是一个做生意的好地方。IIS完整的安全性技术和服务以及Microsoft Site Server Enterprise一起为使用Windows NT Server构建一个安全应用程序提供了一个坚实的基础下部结构。
商业关系和外延网络
商业伙伴关系能够从使用电子信息的传递和通讯所带来的效率的大幅度提高中获益非浅。许多公司希望在把选择性的信息对第三方开放的同时还保持着完全的安全性。例如，一个公司会给予零售商一定的权利，让他能够访问他们自己的内部客户信息数据库，从而加快销售领头人的产生。但是，如果一个公司把网络面向承包人，供应商，以及其他商业伙伴开放，安全性就变得非常重要了。当允许外来人员访问信息或者数据库时，服务器必须能够鉴别并且验证用户的身份，还必须要设置访问控制让管理员能够决定那些区域是客户可以访问的区域。此外用户还必须要能够秘密地传送信息，这样机密信息在网络中传递时才不会被截取。通过使用公共密匙技术，Challenge Access Protocol，以及其他高级安全特性，IIS为企业内部网络面向外部世界的开放部分提供了所需要的安全保障。有时候，我们把在公司内部网络和公众Internet之间的这一安全地带叫做外延网络。
与客户联系
目前一个通过Internet提供服务的公司要管理许多个用户名和密码。个人数字证书提供了一种安全有效的方法来鉴别客户，并且能够存储一些根据每个客户购买模式和其他一些重要的特征来定制的数据，这有助于提高客户服务的效率。例如，公司能够根据每个客户所预定的服务来给他颁发证书。具体来说，在一个在线体育信息服务的例子中，也许某个人只预定了足球信息，而另外一个人预定了高尔夫球的信息，第三个人则预定了全部的体育信息。客户会获得相应的个人数字证书，它映射到一个Windows NT的帐户组中，有权访问站点中的某个特定部分。有了Microsoft Site Server，一个Web站点就能够轻易地跟踪个人的使用情况以及相关的信息，增加用户的经验。
使用安全性的框架
微软公司设计的IIS 和Windows NT Server为管理员提供了一个强有力的框架来配置Web服务器。此外，IIS和Windows NT Server还为管理员提供了一个单一的综合的安全模型。换一句话说就是，IIS的安全性充分与Windows NT 的安全性结合来了。这就带来了很多优势，包括下列功能：
* 充分利用了根据美国政府C2 和ITSEC FC2而制定的Windows NT的安全性这一强大的安全基础。
* 通过不增加多余的安全层减少出现安全薄弱环节和漏洞的可能。这一点把IIS与其他的操作系统和Web服务器区分开来，它们都有很多安全层，这就增加了它们的复杂性以及出现安全漏洞的可能性。
* 利用现有的Windows NT的知识，易于学习和配置。
* 减少额外的安全和访问控制层所引起的不必要的开支，优化性能。
它所提供的框架能够让管理员决定所有的事情，从在Web服务器上要用哪一类型的终端用户验证，到Web服务器如何能够自己物理锁死都可以。
访问控制
IIS侧重的最重要的部分中有一点是关于提供强大的访问控制功能的，它能够访问服务器上的文件和应用程序。IIS能够很容易地根据公司的需求在重要的商业数据上使用一个广泛的访问控制机制。其中包括下列部分：
* 支持Windows NT Challenge/Response (NTLM)验证
* IP地址准许/拒绝限制
* 在虚拟服务器和目录中实现限制的能力
* 支持Windows NT File System (NTFS)
* 以用户的身份运行应用程序
* 客户和服务器数字证书
* 高级安全过滤器
* 用户身份验证和授权
用户验证
IIS安全是与Windows NT Directory Service结合在一起的，每一个资源只有有效的Windows NT用户帐户才能够访问。管理员能够充分运用Windows NT Directory Service的帐户管理的权利，包括审核和记录所有操作的能力，以及设置日期限制时间，溢出密码和强制安全口令策略的能力。
匿名访问
在安装的时候，IIS就建立了一个匿名帐户给未经验证的Web连接使用。当文件没有安全要求时，访问请求由服务器在这个匿名用户帐户的安全范围内处理。匿名帐户只能够访问被授予许可的文件和应用程序。
用户名和密码
文件和应用程序可以被限制为只有特别的用户或组才能访问。这就要求获取用户的名字并且验证它。IIS可以配置成要求基本的HTTP验证。首先要用户给出自己的用户名和密码，然后把它与Windows NT Server目录中的帐户相比较。不过在基本验证中，用户名和密码在网络传递的过程中是明文出现的，这就会给网络信息的偷窥者以可乘之机。
设置Windows的询问回应安全性
IIS 还支持Windows NT Challenge/Response (NTLM)验证，它采用了一种加密的技术来验证密码；真正的密码并不通过网络传送。因为每一个连接都是直接映射到Windows NT用户帐户的，所以在Windows NT 域中登录到所有的服务器和服务都只需要一次登录，就像在企业内部网络中一样，Internet用户能够从中获益不少。
目前Microsoft Internet Explorer 3.0（及以后版本）都能够支持NTLM。在IIS Software Developer's Kit中包括文档和样本源代码，这样其他的软件供应商也许就会在他们的浏览器和应用程序中支持NTLM。
数字证书
IIS 能够用X..509证书来控制访问。一份证书能够验证用户的身份，其作用与司机的驾驶执照或者是公司身份卡的作用是一样。它由一家可信任的认证权威机构来颁发，该机构可以是公司内部的机构，也可以是像Verisign一样的公众公司。在颁发证书时，IIS检查用户身份或者是凭证的严格程度取决于在访问信息或应用程序时所要求的安全等级或者信任程度。用户在签署他们的证书时要键入一个密码，用户在每一次使用该证书的时候都要输入这个密码。就像司机的驾驶执照一样，仅仅只是拿着它并不意味着你就是它的主人。因为只有证书的主人才知道这个密码，所以密码是检验能否进行访问的关键。
基于证书的客户验证要求协议在客户端和服务器端都能够进行证书的处理，同时还要有相应的请求和回应。服务器证书是面向客户端的，这样客户可验证服务器的身份。当运行Secure Sockets Layer (SSL)时，一台服务器必须有服务器证书。相应地，服务器也可以要求查看客户端的证书。在服务器证书中要包含Web站点的名字，以及检查所键入的名字是不是该Web站点的名字的浏览器。
IIS 提供了一系列开放的APIs，开发人员可以用它在定制规则的基础上建立过滤器来验证用户。这就使得管理员能够很灵活地用任何验证方案或者外部目录来控制访问。
访问控制
一旦用户被验证之后，IIS会检查他们是否有权访问他们要求访问的文件或应用程序。
IP地址
在Internet 中，每个服务器和客户（或者是一组客户的代理服务器）都有一个特殊的Internet地址叫做“IP地址”。IIS能够配置成允许或者拒绝特殊的IP地址的访问。这样管理员就能够通过拒绝访问来把一个IP地址范围中的某个特别的地址排除在外，或者还能够拒绝某个网络中的全体成员访问某个服务器。反过来说，管理员也能够选择只允许特别的IP地址访问服务。
Windows NT File System 许可
Windows NT File System (NTFS)能够满足高端Web服务器的安全需求，不论是用于企业内部网络的方案还是用于Internet 的方案。NTFS文件系统支持任何的访问控制和所有权特权，它们对于维护重要的商业数据的完整性十分重要。NTFS允许管理员为每个单独的文件分配权限，而不仅仅是对文件夹和目录才可以。通过对由IIS提供的内容使用NTFS文件系统，管理员能够做到在Web服务器中个别的人访问个别的文件。
只要关于用户IP地址的限制满足了，且用户名和密码都是有效的，同时服务的虚拟目录权限也完成了，此时，IIS就能够用已验证用户的安全关系访问特定的资源（基于URL）。Windows NT Server在NTFS资源权限的基础上加强了访问控制，让管理员能够对敏感的资源和数据进行极为细致的控制。
Windows NT 用一个全局地唯一的安全标识（SID）来鉴别每一个用户。SID在后台与用户的帐户名相映射，所以文件权限和组帐户是用一个相关的名字来进行管理，用SID来使用。当一个帐户被删除之后，所有分配给该帐户的ACLs和组的所属关系都会随之而一同去掉。SID和同步性保证了后面用相同的用户名创建的帐户不会继承原帐户的权限。
模仿
IIS在用户请求的文件的安全关系范围内以及对那些能够被访问的限制范围内访问所有的文件，运行所有的应用程序。这是在服务器管理中特定的匿名用户帐户，或者是一个已经经过验证的用户帐户的功能。这就意味着在用户目录中的一个CGI应用程序或者组件不能够访问受其他用户或服务器管理员限制的数据或者服务。此外，应用程序开发者还在开发应用程序时有很大的灵活性，这就比所有的代码都要在服务器本身的安全关系范围内运行要方便得多。模仿则让基于Web的应用程序能够安全地用于应用程序或者类似管理员操作的函数，它们必须同时限制谁能够访问应用程序以及允许他们进行哪些操作。
IIS服务中的许可
Internet Information Server让管理员能够在虚拟目录下进行只读或者只能执行的权限设置。对于每一个请求，IIS要检查URL和请求的类型，同时还要确定是否在虚拟目录中设置了权限。这就保证了用户不能读取具有只执行权限的文件或者执行具有只读权限的文件。
访问审核
审核安全事件是测定是否有用户试图访问你的Web服务器中的安全内容的几种方法之一。IIS支持两种形式的登录窗体。第一种是标准的Web服务器访问登录，它将记录下所有的文件，对象请求，以及错误。第二种窗体运用了Windows NT Server的能力，让管理员能够记录并且审核所有想通过Windows NT Server Event Viewer来突破安全防范的尝试。例如，在一个安全的企业内部网络的Web服务器上，管理员能够记录下面这些：
* 所有对服务器上文件的访问
* 无效的登录尝试
* 所有的登录
登录审核除了用于为了增加安全监视而采取的Web服务器的访问日志和为了防止不同的权限而采取的复制日志之外，还有其他用途。微软公司还建议客户监视审核日志，该日志是由IIS提供的，这么做是因为有一些黑客在企图访问你的Web服务器中的安全信息失败后往往会想要抹去一切痕迹。限制对日志的访问并且阶段性的复制这些文件就有可能防止这些做法。
机密性和数据的完整性
在点对点的通讯中，比如在Internet中一个Web浏览器和一个Web服务器之间联系，安全通道技术具有保密性，完整性，和身份验证的特点。微软公司为安全通道通讯提供了SSL 2.0和 3.0以及Private Communications Technology (PCT)，作为Internet Information Server 3.0的一个基本特性。
运行Windows 或者Windows NT 的Internet应用程序开发者能够通过WinInet函数或者通过WinSock 2.0在他们的应用程序中提供SSL支持。Transport Layer Security Protocol (TLS)将提供一个包含SSL和PCT 的单个标准，TLS正在IETF的考虑之中。
机密性
机密性防止了通讯内容的泄露。例如，在一桩银行交易中，就必须要保证只有交易方才能够访问被传送的信息，这一点非常重要。保密机制，如SSL加密通道，用于确保像银行交易等高度机密的交易，在通过Internet 或者其他载体传送时具有安全性。
数据的完整性
完整性确保重要的数据在传送时不会改变。如果要在Internet上进行商业活动，完整性是非常重要的。如果不能确保数据的完整性，购货定单，合同，说明书，或者是购买股票的定单—这里只是随便举了几个例子—都可能被修改，导致很大的损失。这就是为什么IIS要支持数字签名和消息确认编码的原因，它们就像文件的指纹一样，能够帮助辨别和原文件相比，数据是不是有所变化。
数字签名
数字签名能够既用于检验一个用户或者服务器的身份，也能够用来确保一个消息只会被特定的接受者读取。数字签名在电子邮件和文件传递的过程中用来检验身份和加密信息。Web服务器和浏览器也能够利用它来进行手工验证，保证网页传送过程中的机密性以及信息的完整性。给数据加上符号并不会改变数据，它只是产生了一个字符串并附加到数据中。
数字签名是用公共密钥加密法则如RSA公用密钥密码来形成的。一种公共密钥法则实际上用到了两种不同的数学上相互匹配的密钥：公共密钥和私人密钥，它们合起来称为一个密钥对。私人密钥只有拥有者本人才知道，而公共密钥则任何人都可以知道。在公共密钥的设计中，如果一种密钥用于加密，则另外一种密钥用于解密。实际上，私人密钥是无法真正从公共密钥中分离出来的。IIS的证书技术使用的是1024位的公共密钥进行加密，这是非常安全的。
SSL
IIS支持SSL的3.0版本。SSL提供了一种安全的信号交换，它被用来对TCP/IP连接，如一个Web浏览器和一个Web服务器之间的通讯等，进行初始化。SSL在一个秘密的点对点通讯通道中提供了保密性，完整性和身份验证。一个浏览器和服务器用手工验证能够支持使用一定级别的安全性。在请求和反应的数据通过网络连接传递的时候，SSL还为它们提供了可选择的加密和解密，比如说对商店付帐行为中的信用卡信息可以如此。
在世界范围内的自然通讯是完全有可能的，因为SSL使用了RSA中的世界标准的加密技术，微软公司把这一技术封装在每一个操作系统和每一个Internet Explorer的副本中了。为了让SSL与PCT和TLS相适应，微软公司还提议把它扩展到WinSock 2。这一目的是为了使支持SSL的应用程序尽可能的简单，同时又不失足够的灵活性。而一个使用WinSock 2的应用程序就像一个内部地使用协议的应用程序一样安全。
SSL总是提供服务器的身份验证，因为，在建立了一个SSL会话之后，服务器总是会提供一个数字证书给客户。数字证书就像一个电子的许可证或者说一个文档的证明，因为它能够让双方都确定他们是与所要求的服务器进行对话的。浏览器会根据证书检查服务器名，如果不对，它会向用户提出警告。
SET
Secure Electronic Transport (SET)是一个信用卡交易的安全消息协议。SET是由Visa 和MasterCard在Microsoft, IBM, GTE, Netscape, 等其他公司的帮助下开发的。SET能够验证持卡人，贸易商，以及其他人的身份，它能够保留付款数据的机密性而不会加密定货说明书和其他的非机密性的信息。与SSL之类的安全通道服务不同的是，SET使用的是56位的Data Encryption Standard (DES)加密，并且要求用数字签名来检验有关各方的身份。通过使用多方消息，让信息直接对银行加密，SET就能够防止信用卡号被别人误用。
为了保证数据的完整性，使数据在传送过程中不会被篡改，SSL使用了消息摘要MD-5，和RC-4流密码来保护秘密。RC-4加密法在美国本土可以用到128位，而在北美以外的地区可以用到40位。
因为SET的说明书不需要许可证，并且它具有可互操作性以及对所有参与者都公开的特性，可以预见的是，大多数软件公司都会采用SET来进行电子商务交易。它第一次被采用是在1997年。微软公司为商人，让受人，以及付款处理器提供工具，帮助他们建立与SET相适应的应用程序。同时，因为它的目的是为了让所有的与SET相适应的软件能够轻松获得进出口批准，所以Visa 和MasterCard正致力于政府所关注的SET的加密用途。
数字证书通过财务制度以及Visa 和MasterCard的付款系统把持卡者和商家联系起来，通过增加数字证书，SET为客户提供了比现今技术所能提供的更好的安全保障。把SET和信用卡处理系统结合起来能够让持卡者和商家对他们的交易的安全性更加放心。
点对点通道协议（PPTP）
微软公司的虚拟专用网络（VPN）技术是基于点对点通道协议（PPTP）的，它用于通过如Internet一样的公众网络来实现对公司局域网（LANs）更安全，更低成本的远程访问。PPTP是一种新的网络技术，它支持多协议VPNs。使用PPTP，远程用户能够用微软公司的Windows(r) 95 和Windows NT Workstation操作系统或者是其他点对点协议许可的客户端系统来拨通本地的Internet服务供应商，通过Internet安全地与他们公司的局域网相连接。VPN技术为客户们提供了一种既经济又易于实现的方案，让他们能够通过Internet建立安全而保密的通讯。
PPTP还能够用于密集而且集成的通讯方案来支持V.34和综合服务数字网络（ISDN）的拨号上网。公司还能通过Internet协议（IP）构架来使用一个PPTP许可的VPN，能够以一种更节省成本，更没有争议，不依赖于协议，更安全而且无须改变现有网络寻址方法的方式来拨号访问他们的公司网络。
开发者的安全函数
Internet Information Server为公司的开发者提供了一个强大的平台来设计基于Web的应用程序。除了Web服务器的Internet Server API (ISAPI) 和Active Server Pages脚本，IIS还提供了下列安全技术来方便开发者：
* 用Microsoft Certificate Server来发布数字证书
* CryptoAPI加密
* 用Active Server Pages来使用SSL证书
用Microsoft Certificate Server来发布数字证书
Certificate Server让企业能够轻松的管理证书的发布，更新，以及撤消，而不需要依赖于外面的权威机构。有了Certificate Server，公司能够完全地控制与证书的发布，管理和撤消有关的策略，以及证书本身的格式和内容。此外， Certificate Server把所有的交易都记如了日志，这样管理员就能够跟踪，审核和管理有关证书的请求了。缺省的策略是把证书授予基于一个预置的Windows NT管理员用户组，帐户，和服务器的信任用户集合。它能够在用户的Windows NT日志的基础上验证用户，并且能够让管理员直接批准或拒绝一个申请证书的请求。
管理员能够发布标准格式的证书（X509版本1或3），同时还能够根据需要进行调整。Certificate Server：
* 接受标准的PKCS#10证书申请。
* 发布PKCS#7形式的X-509版本1和版本3的证书
* 发布SSL客户端和服务器证书
* 发布S/MINE证书
* 发布与SET相适应的证书
* 支持能够编写支持用户格式的开放界面
Certificate Server用微软公司或者非微软公司的客户端，浏览器，和Web服务器进行工作。有很多发布和申请证书的方法，其中包括能够用来定制你的需求的传送机制，你可以从中进行选择。服务器能够用电子邮件，基于轻型目录访问协议（LDAP）的目录服务，或者其他常规机制把证书寄还给用户。
Certificate Server平衡了Microsoft Windows NT Server的可靠性和可伸缩性。它能够被配置在一个大公司的多个服务器中，这需要很大的灵活性。Certificate Server 是在Windows NT 上的多线程服务，它充分利用了Windows NT的多处理器的能力。Certificate Server：
* 作为一个Windows NT服务运行，与操作系统紧密集成。
* 提供了高性能，多线程的证书处理
* 使用CryptoAPI 2.0，能够灵活选择加密程度和加密设备（采用硬件设备或者以软件形式）。
CryptoAPI
CryptoAPI 作为Windows NT 4.0 和Microsoft Internet Explorer 3.0的一部分是用来从开发者那里提取加密细节的。它包括了Cryptographic Service Provider (CSP)界面，这一界面允许开发者在不修改应用程序代码的前提下改变密码的长度和类型，这就使得访问加密变得更容易了。
CryptoAPI把应用程序从自己加密中解脱出来。它提供了对普通密码函数如加密，散列和数字特征等进行可扩展的，可输出的，系统一级的访问。任何用CryptoAPI编写的应用程序都能够使用支持X509标准的证书。这样任何适应标准的应用程序或系统能够从任何平台上访问服务器，其中包括UNIX 和Macintosh平台。
CryptoAPI提供了一系列丰富多样的高级别的APIs，它能够使开发者的标记，密封，加密，解密等工作变得更容易。开发者能够轻易地把身份鉴别和验证集成到应用程序中去，这样就能够通过企业内联网络和Internet 进行安全的私人通讯和数据传送。证书服务的功能包括申请建立证书，存储和检索证书，分列证书等。
与客户证书相互作用
Microsoft Active Server Pages的脚本编写提供了一个与客户证书相互作用的编程方法。证书和它的关键字段能够在脚本中显示，并且能够直接映射，比如，直接映射到服务器方的数据库中。它还能够把客户证书映射到Windows NT的用户帐户中。不仅仅特殊的客户证书能够在多对一的基础上进行映射（也即是说，多个证书能够映射到同一个Windows NT用户帐户中），通配符映射也是可以的。为了有更好的安全性，Active Server Pages还允许Web主人检查客户所提供的证书的内容。
总结
企业内部网络和Internet的配置方案带来了很多机会，这表明了使用一个具有高度安全性的，与操作系统完全集成的Web服务器非常有必要。带Microsoft Internet Information Server的Windows NT Server 4.0提供了理想的Web应用程序平台。因为IIS具有支持X509v3证书技术，RSA公共密钥，SSL 3，Windows NT Challenge and Response，以及其他的安全特性，所以IIS能够为企业提供最高级别的安全保障，确保把企业内部网络向商业伙伴和其他外部资源开放时的安全。
因为网络管理员是安全保障的关键环节，IIS使用Windows NT Server的用户数据库来集中管理每一台服务器的用户，这样管理员就无须维护多个用户数据库了。此外，所有的IIS服务都能够用一种管理工具轻松管理。例如，把IIS用于企业内部网络，管理员就能够轻松地管理上百台内联网络服务器的服务，许可和登录。
微软公司致力于确保IIS的安全和可靠。微软公司把安全性看做是一个连续的过程，定期地把快速维护和服务软件包送到管理员手中，这样管理员就能够马上从中获益。为了方便客户与微软公司联系，解决可能出现的任何问题，这里有一个电子邮箱，地址是：secure@microsoft.com。如果你在使用微软公司的产品时出现了任何安全问题，请发电子邮件到这个信箱。微软公司的产品小组会随时监视这个信箱，对于其中的一部分问题会给予解答。
通过优化Windows NT Server平台，Microsoft Internet Information Server提供了高性能的，易于管理的，优秀的安全性。所有这些使得IIS成为公司开发企业内联网络和Internet的巨大潜力的理想平台—一切都不需要以安全性为代价。
更多信息
想知道关于Windows NT Server的最新信息，请上网查询，网址是：
http://msdn.microsoft.com/isapi/gomscom.asp?Target=/ntserver/default.asp。或者是在Microsoft Network上的Windows NT Server Forum。
1999年微软公司，版权所有，所有权利保留。
在这篇文章里包含的信息代表了微软公司对于目前所讨论的问题截止到公布之日为止的最近的观点。因为微软公司必须对变化的市场条件作出反应，所以不能把它看做是微软公司的承诺。同时，在本文发表之后出现的任何信息，微软公司也不能保证它的准确性。
本文仅仅作提供信息用。在本文中微软公司不做任何担保，表示或者暗示。
Microsoft, BackOffice, the BackOffice logo, Windows,和 Windows NT都是由微软公司在美国或者其他国家已经注册了的商标
在本文中出现的其他产品或公司名也是其相应所有者的注册商标。
