保护因特网密码的安全

因特网密码锁定允许管理员为 Domino® Web 和 Domino® Web Access 用户的因特网密码认证失败次数设置一个阈值。这种方式通过将任何在已建立的阈值范围内无法登录的用户进行锁定，可帮助防止针对用户因特网帐户的恶意力量和字典攻击。有关认证失败和锁定的信息在因特网锁定应用程序中维护，管理员可以在该应用程序中分别清除失败和解锁用户帐户。

应该注意的一点是，此功能容易受到服务拒绝 (DoS) 攻击。DoS 攻击指的是这样一种攻击：恶意用户明确阻止某个服务的合法用户使用该服务。在因特网密码锁定的情况下，合法因特网用户可能会因故意进行失败登录尝试的攻击者而无法登录到 Domino® 服务器。

因特网密码锁定有一些使用限制：

• 只能对于 Web 访问使用因特网密码锁定。其他因特网协议和服务（如 LDAP、POP、IMAP、DIIOP 和 HCL Sametime®）目前不受支持。但是，如果用于认证的密码存储在 LDAP 服务器上，那么可以将因特网密码锁定用于 Web 访问。
• 如果正在使用定制的 DSAPI 过滤器，则可能不能使用因特网锁定功能，因为 DSAPI 过滤器是一种忽略 Notes/Domino 认证的方式。

对于单点登录，启用了因特网密码锁定功能的 Domino® 服务器必须同时是颁发单点登录密钥的服务器。如果此密钥是从另一个源（另一个 Domino® 服务器或 WebSphere® 服务器）检索的，那么无论是否启用了因特网密码锁定，SSO 令牌在该 Domino® 服务器上将始终有效。

因特网锁定数据库 (inetlockout.nsf) 是在以下两种情况之一下根据 inetlockout.ntf 模板创建的：

• 启动期间（如果已经启用了因特网锁定功能）。
• 第一次需要查看或写入锁定数据库时。这种情况不需要重新启动，但是启用了该功能的时间与打开或写入锁定数据库的时间之间必须经过十分钟。

缺省情况下，因特网锁定数据库 ACL 仅允许管理员访问 Admin 组。缺省和匿名用户被拒绝访问。但是该数据库 ACL 可以进行修改，以便为用户和组提供查看和解锁用户的权限。

对于每个尝试使用因特网名称和密码登录到 Domino® 的用户，有关锁定状态的信息在因特网锁定数据库中维护，其中包括用户名、失败尝试次数以及锁定状态。如果用户已经注销，或者用户登录成功，则不在锁定数据库中记录锁定尝试。但是，虽然因特网锁定数据库维护锁定状态信息，Domino® 域管理器 (DDM) 仍然是应该在其中维护登录失败和锁定历史记录信息的位置，其中为您提供了登录失败尝试的历史记录。

对用户存储在因特网锁定数据库中的访问信息进行的任何更改将立即执行。无需重新启动 HTTP 服务器即可使得更改生效。

锁定数据库具有两个视图：

• “锁定的用户”，其中包含了失败密码尝试超过阈值，现在无法使用其因特网名称和密码访问服务器的用户的记录。
• “登录失败”，其中包含的用户记录显示了失败认证尝试的次数。

两个视图的字段是相同的：

• 服务器名称- 用户被锁定或认证尝试失败的服务器
• 用户名- 被锁定或者被记录了失败认证尝试的用户的名称
• 已锁定- 在“登录失败”视图中，此值可能是“是”或“否”。在“锁定的用户”视图中，此域将设置为“是”。
• 失败次数- 显示每个用户当前的失败认证尝试次数。在“锁定的用户”视图中，此值应该等于阈值设置。
• 第一次失败时间- 显示第一次认证失败的日期和时间
• 最后一次失败时间- 显示最后一次认证失败的日期和时间。此值也可能是用户被锁定的时间。如果用户被锁定之后再次尝试，此时间则不会更新。

可以通过删除记录来解锁用户。

您可以通过单击工具栏中的标记为删除/解锁将多个记录标记为进行解锁或删除，然后通过单击删除标记的项将其删除。

建议您定期验证因特网锁定数据库中是否只包含有效用户的记录。除去名称已经更改或者已经作为 Domino® 服务器用户被除去的用户的名称。该数据库没有自动清理功能；尽管拥有过期用户记录不会导致功能问题，但是数据库中的记录太多可能会导致因特网认证性能下降。

您可以为因特网锁定数据库创建定制表单，该表单可用于告知用户他们可能已被锁定。

作为管理员，您需要决定是否将因特网锁定数据库复制到对您有用的其他服务器中。复制数据库的一个重要优点在于，锁定信息会复制到多个服务器。您可以查看任何副本然后确定用户在多个服务器上的锁定状态，而不必在启用了因特网密码锁定的每个服务器上都打开因特网锁定数据库。

但是，复制也有其缺点，例如，如果您的网络正在遭受攻击或者发生了拒绝服务攻击，则可能发生复制风暴。另外，如果复制的速度较慢，则在复制发生之前，在某个特定服务器上检查锁定数据库的任何用户可能都无法看到某个个人已被锁定（但是他们总是可以在问题服务器上直接打开副本）。

因特网锁定数据库是使用副本标识创建的，对于域中启用了因特网密码锁定的任何服务器上的任何副本都是相同的。缺省情况下，可以为因特网锁定数据库临时禁用复制。这样可以防止前面所说的复制风暴。要将数据库复制到另一个服务器上，请在“复制设置”对话框的“其他”部分，禁用“临时禁用复制”选项。然后您可以设置该数据库以便进行复制（调度复制或集群复制）。

因特网密码锁定在服务器配置设置文档中启用。这就使得管理员能够为多个服务器打开因特网锁定功能。

建议启用“服务器”文档选项名称变化越少，安全性越高。这样可以将不明确名称的问题减到最少。Domino® 支持使用用户名的简短形式登录到 Web 服务器（如果密码正确），尽管短名称可能与目录中的两个或多个人相匹配。用户输入模糊名称时发生的不正确登录将导致每个模糊匹配项发生失败，因为无法分清哪个用户正在尝试登录。另外，只有当用户的用户名和密码成功匹配时，才能使用锁定截止时间设置清除失败尝试。