Co jest weryfikowane (uwierzytelniane) w uwierzytelnianiu systemu Windows? - asp.net, asp.net-mvc

Mam włączone uwierzytelnianie systemu Windows w asp.net mvc, jak poniżej.

  <authentication mode="Windows">
</authentication>

Przeczytałem poniższe oświadczenie w Wikipedii.

Zintegrowane uwierzytelnianie systemu Windows samo w sobie nie jest standardem ani protokołem uwierzytelniania. ”

Co zatem jest weryfikowane, gdy korzystamy z uwierzytelniania systemu Windows?

Referencje

You can use Windows authentication when your IIS 7 server runs on a corporate network that is using Microsoft Active Directory service domain identities or other Windows accounts to identify users. Because of this, you can use Windows authentication whether or not your server is a member of an Active Directory domain. Windows authentication (formerly named NTLM, and also referred to as Windows NT Challenge/Response authentication) is a secure form of authentication because the user name and password are hashed before being sent across the network.

Integrated Windows Authentication itself is not a standard or an authentication protocol. Integrated Windows Authentication works with most modern web browsers,but does not work over HTTP proxy servers. Therefore, it is best for use in intranets where all the clients are within a single domain. It may work with other Web browsers if they have been configured to pass the user"s logon credentials to the server that is requesting authentication.

Odpowiedzi:

To zależy od faktycznego protokołu.

W podstawowym uwierzytelnianiu nazwa użytkownika / hasło towysłane na serwer. W skrócie skrót jest wysyłany, jednak skrót jest rzadko używany, ponieważ wymaga prostego hasła po stronie katalogu aktywnego i chociaż można go włączyć, nikt go nie używa. W ntlm odbywa się negocjacja między użytkownikiem, serwerem i usługą AD. W Kerberos przeglądarka najpierw uzyskuje bilet uwierzytelniania z AD, a następnie wysyła go do sprawdzenia.

Wszystkie tak zwane schematy uwierzytelniania „Windows”są oparte na przepływie 401 Challenge obsługiwanym przez przeglądarki i ciekawe jest, że dzięki modułowi niestandardowemu tak naprawdę nie potrzebujesz AD dla przepływu 401, ale możesz użyć dowolnego niestandardowego zaplecza użytkownika.

http://www.wiktorzychla.com/2013/11/basic-authentication-module-with-custom.html