Автоматическая авторизация в браузере

[scorpy]

Возможно ли сделать так, чтобы набрав в браузере адрес http:\\mailserver доменный пользователь автоматически попадал в свой почтовый ящик?

В Kerio Control такое сделать удалось, и по определенной ссылке пользователь автоматически авторизируется и попадает в свой профиль. И статья есть [Для просмотра данной ссылки нужно зарегистрироваться]

Можно ли сделать также в Kerio Connect, чтобы вход происходил напрямую через браузер?

Все что получилось пока: я зашел в Конфигурация - Безопасность, оставил там только один метод NTLM. При входе клиента в почту у него запрашивается логин и пароль, и после их ввода блогополучно его запускает. Но как так? ведь не должен же, стоит только NTLM, или пароль вообще не должен спрашиваться и пускать, или даже при правильном вводе не пускать пользователя. А так даже непонятно, это работает NTML или нет..

scorpy, не понял вопроса в принципе. Объясняю.

1. В системе есть собственная клиентская часть (смотреть на примере [Для просмотра данной ссылки нужно зарегистрироваться]), настроив которую 1 раз любому пользователю (естественно, не только доменному пользователю AD на авторизованной для работы в домене (компьютер-член доменной структуры) машине) вообще более не нужен ни пароль ни логин. Он заполняется в настройках 1 раз. И все. Не нужен ни outlook ни браузер.
2. Возможность пользователя войти на вебмайл нужна для того, чтобы пользователь при острой необходимости (отсутствие устройства (телефона/планшета/ноутбука) настроенного на получение/отправку сообщений корпоративной электропочты) войти и прочесть/написать письмо откуда угодно, является "аварийным способом" работы с корпоративным email, и не является основным способом отправки/получения сообщений.
3. Отличие от системы авторизации Kerio Control состоит в том, что "прозрачная" для пользователя авторизация в последнем, используется в офисе компании, исключительно на локальных СВТ - членах единой доменной структуры AD, и используется для упрощения организации системы контроля, фильтрации и учета трафика и не более того, и в отличие от протоколов SMTP/POP3/WebDAVиспользуемых для авторизации в системе Kerio Connect не регулируется никакими RFC.
4. Для возможности "прозрачной авторизации" в Kerio Control посредством NTLM/Kerberos во первых нужно чтобы не только "серверная" часть приложения ее поддерживала, а и клиентский браузер умел это делать. Во встроенном в ОС MS Windows Internet Explorer для такового необходимо добавить сайт, на котором возможна автоматическая авторизация в "зону Интрасети", и собственно, разрешить браузеру передавать текущие реквизиты учетной записи пользователя для этой зоны. Тогда это должно работать.

[scorpy]

HOG, Спасибо за ответ.

Цитата:

Сообщение от HOG

Для возможности "прозрачной авторизации" в Kerio Control посредством NTLM/Kerberos во первых нужно чтобы не только "серверная" часть приложения ее поддерживала, а и клиентский браузер умел это делать. Во встроенном в ОС MS Windows Internet Explorer для такового необходимо добавить сайт, на котором возможна автоматическая авторизация в "зону Интрасети", и собственно, разрешить браузеру передавать текущие реквизиты учетной записи пользователя для этой зоны. Тогда это должно работать.

Ну вот вроде должно, но что-то не работает. И нигде в сети нет упоминания, что такое можно сделать для kerio connect. (только control). Непонятно почему, вроде бы вопрос актуальный: интегрировать почтовый ящик с доменной учеткой, чтобы пользователь вообще не сталкивался ни с какими паролями. И без разницы, делать это в клиенте, или в браузере. В клиенте было бы даже удобнее. Но такая авторизация вообще работает в почте? Есть какие-нибудь данные, что это кто-то проверил?

Цитата:

Сообщение от HOG

настроив которую 1 раз любому пользователю ... вообще более не нужен ни пароль ни логин

1 раз надо настроить КАЖДОМУ пользователю. А потом каждому новому пользователю. И заниматься такой настройкой придется постоянно. Пользователь также может сменить доменный пароль, и тогда почта у него отвалится. И клиент даже не в msi, и просто так его через политики всем не развернешь. Вроде бы подход к Kerio сводится к тому, что клиент будет более-менее подкованный и сам настроит себе почту.

Но при этом все-таки остается загадкой опция NTML авторизации в параметрах. У меня активна только она, но при этом вход, что в браузер, что в клиент все равно происходит по логину и паролю.

Цитата:

Сообщение от HOG

и в отличие от протоколов SMTP/POP3/WebDAVиспользуемых для авторизации в системе Kerio Connect не регулируется никакими RFC.

Ну вот при авторизации по логину и паролю, мне видится дыра посущественнее, чем уязвимости в NTML авторизации. Т.к. в наших реалиях доменные пароли пользователей не являются большим секретом, и смысла в этом нет. И почта ориентирована только на внутреннюю переписку, и доступ к отправке писем только локальный. Но если у пользователя при авторизации будет спрашиваться логин и пароль, то у него будет соблазн попытаться ввести чужой логин и пароль (благо в адресной книге все логины будут). А если бы авторизация была автоматической и только NTLM, то все было бы намного проще. Я понимаю, что это не правильно в плане безопасности.. Но в закрытой системе - сойдет.

Цитата

Сообщение от scorpy

А если бы авторизация была автоматической и только NTLM, то все было бы намного проще.

стало быть, у пользователя нет соблазна спереть логин-пароль для входа в ОС (для отправки сообщения беспалева), а желание с3,14здить пароль от почты (ровно для того же) - внезапно есть?

Цитата

Сообщение от scorpy

Т.к. в наших реалиях доменные пароли пользователей не являются большим секретом, и смысла в этом нет.

Смысл есть, просто факапов размером с дом еще не было. Поэтому кажется, что "и так сойдет".

Цитата

Сообщение от scorpy

Ну вот при авторизации по логину и паролю, мне видится дыра посущественнее, чем уязвимости в NTML авторизации.

Домустим, факап произошел.
Есть разница между
1) блокированием входа в почту с сохранением входа в ОС - когда имеем отдельный логин-пароль на почту (например, от юзера повалил спам)
2) блокированием доменной учетки с сохранением рабочей почтовой учетки
3) блокированием входа в ОС, когда хотим заблокировать только почту, т.к. пароль на все один. и наоборот.

от варианта (3) происходит потеря времени и, соответственно, денег.

есть принцип домино единой точки отказа при построении систем - чем сильнее что-то связываешь, тем больше вероятность, что при ошибке всё связанное разом откажет.

Цитата

Сообщение от scorpy

интегрировать почтовый ящик с доменной учеткой, чтобы пользователь вообще не сталкивался ни с какими паролями

Так не бывает. Пользователю, как минимум, нужно уметь читать. Тем более, на родном Русском языке, и уж тем более, если решил сменить пароль, то (как минимум) нужно его хотя-бы знать и запомнить.

Цитата

Сообщение от scorpy

чтобы пользователь вообще не сталкивался ни с какими паролями

невозможно хотя-бы по той простой причине, что пользователь должен будет как-нибудь войти в систему для начала. А там все реквизиты 100% совпадут с файрволом и почтой. Так что

Цитата

Сообщение от scorpy

вообще не сталкивался ни с какими паролями

так не бывает. Если, конечно, адимн не баран.

Цитата

Сообщение от scorpy

И без разницы, делать это в клиенте, или в браузере

или вводе реквизитов для входа в систему. Это точно. Но! Знать реквизиты своей учетной записи пользователь обязан. Иначе - на рынок картошкой торговать.

Цитата

Сообщение от scorpy

настроить КАЖДОМУ пользователю

правильно. Это работа группы техподдержки пользователей. Они за это зарплату получают.

Цитата

Сообщение от scorpy

потом каждому новому пользователю

большая текучка, или по 100-200 новых пользователей в неделю? Сочувствую, и рекомендую при проведении собеседования с соискателями на вновь открывшиеся вакантные должности проводить собеседования вместе со специалистами IT, для выяснения степени компьютерной грамотности. А то так получается, что у тебя пользователь сменил пароль и забыл на что именно сменил. Вывод - пользователь профнепригоден, ибо не умеет работать на своем основном рабочем инструменте - ПК.

Цитата

Сообщение от scorpy

заниматься такой настройкой придется постоянно

естественно. Повторяю - это твоя работа. Тебе за нее платят. Хотя, о чем это я, желательно вообще все время сидеть дома и пить пиво,а зарплату вообще пусть на карту перечисляют "за просто так". Нахуй вообще работать-то?? На нас-же все с неба падает...

Цитата

Сообщение от scorpy

подход к Kerio сводится к тому, что клиент будет более-менее подкованный

Ну так а какой пользователь должен быть в 2017 году?? Ау!! Прошло минимум 20 лет с появления компьютеров в повседневной жизни и работе. Уж за 20-то лет можно было-бы запомнить, что если у тебя спрашивают "Имя пользователя" и "пароль" (причем именно по Русски) то, собственно их и нужно ввести в соответствующие окна и нажать "ОК" как минимум.

Цитата

Сообщение от scorpy

при этом вход, что в браузер, что в клиент все равно происходит по логину и паролю

Повторяю - сервер почтовый. Работает соответствующими протоколами - SMTP/S POP3/S IMAP/S WebDAV. Во всех этих протоколах предусматривается обязательная авторизация. Понимаешь? обязательная, описанная в стандартах RFC. Или сервер должен обладать телепатическими способностями определять mailbox именно этого пользователя сам, посредством "божьей помощи" и тем более распознавать удаленных клиентов и сопоставлять их карму с учетными записями AD по "святому наитию"?

Цитата

Сообщение от scorpy

мне видится дыра посущественнее, чем уязвимости в NTML авторизации

таковая "дыра" есть в любой системе где допускается доступ для авторизации из открытых источников. И именно по этому люди придумывают сложные пароли с большим количеством символов и учетом регистра и так далее. И для этого есть системный администратор (или специалист IT Security) который постоянно следит за этим. Да и эта "дыра" прикрыта блокировкой скомпрометированной учетки пользователя по трижды неправильному паролю на указанный временной период, либо до ручной разблокировки администратором системы. Так что на каждый хитрый болт своя резьба найдется.

Цитата

Сообщение от scorpy

в наших реалиях доменные пароли пользователей не являются большим секретом

Нда. Комментарии излишни.

Цитата

Сообщение от scorpy

Я понимаю, что это не правильно в плане безопасности

Тогда, простите, какого хуя ты вообще заводишь этот базар ни о чем?? Делать нехуй? Так давай я тебя сейчас в режим read-only деньков так на 30 поставлю... Думаю за 30 дней ты найдешь чем заняться, тем более НГ на носу, нежели чем пустопорожние пиздежи "о погоде" разводить!

Цитата:

Сообщение от HOG

проводить собеседования вместе со специалистами IT, для выяснения степени компьютерной грамотности. А то так получается, что у тебя пользователь сменил пароль и забыл на что именно сменил. Вывод - пользователь профнепригоден, ибо не умеет работать на своем основном рабочем инструменте - ПК.

неистово плюсую!