svn - 使用 SSPI 模块 HTTP 与 HTTPS 的颠覆

Question

我正在升级我们的 svn 服务器并想更改为 windows 身份验证而不是 htpassword 文件。 我已经安装了模块并且可以让它在 HTTP 或 HTTPS 上运行。

访问存储库，使用 TortoiseSVN，我有 2 个场景:

1. 设置SSPI + HTTPS时访问。登录是自动的，非常有效:)

2. 设置SSPI + HTTP时访问。登录要求我在 TortoiseSVN 中输入我的域用户名和密码，这没关系，因为我可以要求 TortoiseSVN 记住我的凭据。

My questions is:

If I use SSPI + HTTP instead of SSPI + HTTPS are my password and username then encrypted?

我问的原因是我们在 LAN 上，永远无法从外部访问，而且 SSL 有点矫枉过正，因为它使一切变得相当缓慢:S。 所以我更愿意使用 HTTP + SSPI。

我使用 WireShark 在网络上搜索了我的密码但没有成功，这意味着凭据确实已加密 :)。只能找到一行我怀疑是我的用户+密码，看起来像这样:授权:基本 Yh2_3 m%erTo_d4fre

如果有人可以为我澄清这一点，或者最好将我链接到一个声明使用 SSPI + HTTP 时密码已加密的位置，我将不胜感激 :)。

亲切的问候 加勒特

********* *************编辑************* *********

看来我误解了一些非常重要的事情。请验证我是否正确:):

Accessing svn when SSPI+HTTP is enabled, it actually means that SSPI is disabled and that i'm using Basic Auth when accessing, as SSPI requires SSL. Which means that my username and password only have the mild Basic Auth encryption, nothing like SSL encryption.

The only place where the SSPI module enters the picture is that it receives the username+pass from Basic Auth and then it uses those to verify the user against the domain (in a secure manner of course ???).

这是我再次阅读文档时可以扣除的内容。谁能验证我是否做对了？

亲切的问候

加勒特

Answer 1

更新:Subversion 1.8.0 中的行为发生了变化:现在如果服务器支持，Subversion 客户端会自动使用 SPNEGO/NTLM 协议(protocol)进行身份验证。 IE。 http-auth-types 配置选项的默认值为 negotiate;ntlm;basic

默认情况下，Subversion 网络库仅对 HTTPS 连接使用协商/NTLM。

引用 VisualSVN 服务器 KB article ，适用于任何 Subversion 客户端/服务器: http://www.visualsvn.com/support/topic/00040/

To protect from eavesdroppers and man-in-the-middle attacks it's not recommended to use NTLM/Negotiate authentication over the unsecure HTTP protocol. That's why this option is disabled by default.

But if you are forced to use the HTTP protocol, you can manually reconfigure Subversion clients. NTLM/Negotiate authentication over the HTTP protocol can be enabled using the http-auth-types Subversion configuration option. The default value for this option is "http-auth-types = basic". In order to allow NTLM/Negotiate authentication you should change this value to "http-auth-types = basic;negotiate".

本文还包含如何更改 Subversion 配置的分步说明。