Servicios de información de Internet

Microsoft IIS

Captura de pantalla de la consola del Administrador de IIS de Internet Information Services 8.5
Desarrollador(es)	Microsoft
Lanzamiento inicial	30 de mayo de 1995 ; hace 29 años ( 30-05-1995 )
Versión estable	10.0 versión 1809  / 2 de octubre de 2018
Escrito en	C++ [1]
Sistema operativo	Ventanas NT
Disponible en	Los mismos idiomas que Windows
Tipo	Servidor web
Licencia	Parte de Windows NT (misma licencia)
Sitio web	www.iis.net

Microsoft IIS ( Internet Information Services, IIS, 2S ) es un servidor web extensible creado por Microsoft para su uso con la familia Windows NT . ^[2] IIS admite HTTP , HTTP/2 , HTTP/3 , HTTPS , FTP , FTPS , SMTP y NNTP . Ha sido una parte integral de la familia Windows NT desde Windows NT 4.0 , aunque puede estar ausente en algunas ediciones (por ejemplo, la edición Windows XP Home) y no está activo de forma predeterminada. En la última versión del administrador se incluye un conjunto de software dedicado llamado SEO Toolkit ^{[3] . Este conjunto tiene varias herramientas para} SEO con funciones para la optimización de metatag / codificación web, configuración de mapas de sitio / robots.txt, análisis de sitios web, configuración de rastreadores, configuración de SSL del lado del servidor y más.

El primer servidor web de Microsoft fue un proyecto de investigación del Centro Académico Europeo Microsoft Windows NT (EMWAC), parte de la Universidad de Edimburgo en Escocia, y se distribuyó como software gratuito . ^[4] Sin embargo, dado que el servidor EMWAC no podía manejar el volumen de tráfico que iba a Microsoft.com , Microsoft se vio obligado a desarrollar su propio servidor web, IIS. ^[5]

Casi todas las versiones de IIS se lanzaron junto con una versión de Microsoft Windows:

• IIS 1.0 se lanzó inicialmente como un complemento gratuito para Windows NT 3.51.
• IIS 2.0 se incluyó con Windows NT 4.0.
• IIS 3.0, que se incluyó con el Service Pack 2 de Windows NT 4.0, introdujo el entorno de scripting dinámico Active Server Pages . ^[6]
• IIS 4.0 se lanzó como parte del "Option Pack" para Windows NT 4.0. Introdujo la nueva aplicación de administración basada en MMC y también fue la primera versión en la que se pueden ejecutar múltiples instancias de servidores web y FTP, diferenciándolos por número de puerto y/o nombre de host. También fue la primera versión en ejecutar grupos de aplicaciones.
• IIS 5.0 se entregó con Windows 2000 e introdujo métodos de autenticación adicionales, soporte para el protocolo WebDAV y mejoras en ASP . ^[7] IIS 5.0 también eliminó el soporte para el protocolo Gopher . ^[8] IIS 5.0 agregó HTTP.SYS.
• IIS 5.1 se envió con Windows XP Professional y era casi idéntico a IIS 5.0 en Windows 2000.
• IIS 6.0 incluido con Windows Server 2003 y Windows XP Professional x64 Edition , agregó soporte para IPv6 e incluyó un nuevo modelo de proceso de trabajo que aumentó la seguridad y la confiabilidad. ^[9] HTTP.sys se introdujo en IIS 6.0 como un escucha de protocolo específico de HTTP para solicitudes HTTP. ^[10] Además, cada componente (como por ejemplo Server Side Includes o ASP) ahora tiene que instalarse explícitamente, porque en versiones anteriores a menudo los piratas informáticos ingresaban a los sitios utilizando errores de seguridad de componentes que ni siquiera estaban en uso en el sitio pirateado, mejorando la seguridad.
• IIS 7.0 fue un rediseño y reescritura completos de IIS y se envió con Windows Vista y Windows Server 2008. IIS 7.0 incluyó un nuevo diseño modular que permitió una superficie de ataque reducida y un mayor rendimiento. También introdujo un sistema de configuración jerárquico que permitió implementaciones de sitios más simples, una nueva aplicación de administración basada en Windows Forms , nuevas opciones de administración de línea de comandos y mayor soporte para .NET Framework . ^[11] IIS 7.0 en Vista no limita el número de conexiones permitidas como lo hacía IIS en XP, pero limita las solicitudes simultáneas a 10 (Windows Vista Ultimate, Business y Enterprise Editions) o 3 (Vista Home Premium). Las solicitudes adicionales se ponen en cola, lo que obstaculiza el rendimiento, pero no se rechazan como con XP.
• IIS 7.5 se incluyó en Windows 7 (pero debe activarse en el panel lateral de Programas y características) y Windows Server 2008 R2 . IIS 7.5 mejoró los módulos WebDAV y FTP, así como la administración de línea de comandos en PowerShell . También introdujo la compatibilidad con TLS 1.1 y TLS 1.2 y la herramienta Best Practices Analyzer y el aislamiento de procesos para grupos de aplicaciones. ^[12]
• IIS 8.0 solo está disponible en Windows Server 2012 y Windows 8. IIS 8.0 incluye SNI (vinculación de SSL a nombres de host en lugar de direcciones IP), inicialización de aplicaciones, compatibilidad con certificados SSL centralizados y escalamiento multinúcleo en hardware NUMA , entre otras características nuevas.
• IIS 8.5 está incluido en Windows Server 2012 R2 y Windows 8.1 . Esta versión incluye la salida de página de procesos de trabajo inactivos, la activación dinámica de sitios, el registro mejorado, el registro ETW y la revinculación automática de certificados.
• La versión 1607 de IIS 10.0, también conocida como versión 10.0.14393, está incluida en Windows Server 2016, publicado el 26 de septiembre de 2016, y en Windows 10 Anniversary Update , publicado el 2 de agosto de 2016. Esta versión incluye compatibilidad con HTTP/2 , ^[13] ejecución de IIS en contenedores de Windows en Nano Server, una nueva API de administración Rest y la correspondiente GUI de administración basada en web, y encabezados de host comodín. ^[14]
• La versión 1709 de IIS 10.0 está incluida en Windows Server, versión 1709 (canal semestral) y Windows 10 Fall Creators Update , ambas publicadas el 17 de octubre de 2017. Esta versión agrega compatibilidad con HSTS , mejoras de contenedores, nuevos cmdlets de PowerShell para enlaces de sitios y 4 nuevas variables de servidor con el prefijo "CRYPT_". ^[15]
• La versión 1809 de IIS 10.0, también conocida como versión 10.0.17763, está incluida en la actualización de octubre de Windows Server 2019 y Windows 10 publicada el 2 de octubre de 2018. Esta versión agregó indicadores para el control de HTTP/2 y OCSP Stapling por sitio, una API de compresión y un módulo de implementación que admite esquemas gzip y brotli , y una interfaz de usuario para configurar HSTS . ^[16] IIS 10.0 en Windows 11 y Windows Server 2022 tiene soporte nativo para HTTP/3 .

Todas las versiones de IIS anteriores a 7.0 que se ejecutaban en sistemas operativos cliente solo admitían 10 conexiones simultáneas y un solo sitio web.

Microsoft fue criticado por los vendedores de otros programas de servidores web, incluyendo O'Reilly & Associates y Netscape , por su licenciamiento de las primeras versiones de Windows NT; la edición "Workstation" del sistema operativo permitía sólo diez conexiones TCP/IP simultáneas, mientras que la edición "Server" más cara, que por lo demás tenía pocas características adicionales, permitía conexiones ilimitadas pero incluía IIS. Se dio a entender que esto tenía la intención de disuadir a los consumidores de ejecutar paquetes de servidores web alternativos en la edición más barata. ^[17] Netscape escribió una carta abierta a la División Antimonopolio del Departamento de Justicia de los EE. UU. con respecto a esta distinción en el licenciamiento de productos, que afirmó que no tenía mérito técnico. ^[18] O'Reilly demostró que el usuario podía eliminar los límites impuestos destinados a paralizar NT 4.0 Workstation como servidor web con dos cambios de clave de registro y otros ajustes triviales del archivo de configuración.

IIS 6.0 y versiones superiores admiten los siguientes mecanismos de autenticación : ^[19]

• Autenticación anónima
• Autenticación de acceso básica
• Autenticación de acceso mediante resumen
• Autenticación integrada de Windows
• Autenticación UNC
• Autenticación de .NET Passport (eliminada en Windows Server 2008 e IIS 7.0) ^[20]
• Autenticación de certificado

IIS 7.0 tiene una arquitectura modular. Los módulos, también llamados extensiones, se pueden agregar o quitar individualmente, de modo que solo se deben instalar los módulos necesarios para una funcionalidad específica. IIS 7 incluye módulos nativos como parte de la instalación completa. Estos módulos son funciones individuales que el servidor utiliza para procesar las solicitudes. ^[21]

IIS 7.5 incluye las siguientes características de seguridad adicionales o mejoradas: ^[22]

• Asignación de certificados de cliente
• Seguridad IP
• Filtrado de solicitudes
• Autorización de URL

La autenticación cambió ligeramente entre IIS 6.0 e IIS 7, sobre todo en el sentido de que el usuario anónimo que se llamaba "IUSR_{machinename}" es una cuenta integrada en Vista y sistemas operativos futuros y se llama "IUSR". Cabe destacar que en IIS 7, cada mecanismo de autenticación está aislado en su propio módulo y se puede instalar o desinstalar. ^[20]

IIS 8.0 ofrece nuevas funciones orientadas al rendimiento y una administración más sencilla. Las nuevas funciones son:

• Inicialización de aplicaciones: función que permite a un administrador configurar ciertas aplicaciones para que se inicien automáticamente al iniciar el servidor. Esto reduce el tiempo de espera que experimentan los usuarios que acceden al sitio por primera vez después de reiniciar el servidor. ^[23]
• Página de presentación durante la inicialización de la aplicación: el administrador puede configurar una página de presentación para que se muestre al visitante del sitio durante la inicialización de una aplicación. ^[23]
• Compatibilidad con ASP.NET 4.5: con IIS 8.0, ASP.NET 4.5 está incluido de forma predeterminada, e IIS también ofrece varias opciones de configuración para ejecutarlo junto con ASP.NET 3.5. ^[24]
• Compatibilidad con certificados SSL centralizados: una característica que facilita la gestión de certificados al permitir que el administrador almacene y acceda a los certificados en un recurso compartido de archivos. ^[25]
• Escalabilidad multinúcleo en hardware NUMA : IIS 8.0 ofrece varias opciones de configuración que optimizan el rendimiento en sistemas que ejecutan NUMA, como ejecutar varios procesos de trabajo en un grupo de aplicaciones, usar afinidad suave o dura, etc. ^[26]
• Compatibilidad con el protocolo WebSocket ^[27]
• Indicación de nombre de servidor (SNI): SNI es una extensión de la seguridad de la capa de transporte, que permite vincular varios sitios web con diferentes nombres de host a una dirección IP (similar a cómo se utilizan los encabezados de host para sitios que no son SSL). ^[28]
• Restricciones de direcciones IP dinámicas: una función que permite a un administrador bloquear dinámicamente direcciones IP o rangos de IP que llegan al servidor con una gran cantidad de solicitudes ^[29]
• Limitación de CPU: un conjunto de controles que permiten al administrador del servidor controlar el uso de la CPU por parte de cada grupo de aplicaciones para optimizar el rendimiento en un entorno de múltiples inquilinos ^[30]

IIS 8.5 tiene varias mejoras relacionadas con el rendimiento en escenarios de gran escala, como los que utilizan los proveedores de alojamiento comerciales y las ofertas de nube de Microsoft. También tiene varias funciones agregadas relacionadas con el registro y la resolución de problemas. Las nuevas funciones son:

• Página de salida de proceso de trabajador inactivo: una función para suspender sitios inactivos para reducir el consumo de memoria de los sitios inactivos ^[31]
• Activación dinámica de sitios: una función que registra colas de escucha solo en sitios que han recibido solicitudes ^[32]
• Registro mejorado: una función que permite la recopilación de variables de servidor, encabezados de solicitud y encabezados de respuesta en los registros de IIS ^[33]
• Registro ETW: un proveedor ETW que permite recopilar registros en tiempo real utilizando varias herramientas de seguimiento de eventos ^[34]
• Reenlace automático de certificado: una función que detecta cuando se ha renovado el certificado de un sitio y vuelve a vincular automáticamente el sitio a él ^[35]

IIS Express , una versión ligera (4,5–6,6 MB) de IIS, está disponible como un servidor freeware independiente y puede instalarse en Windows XP con Service Pack 3 y versiones posteriores de Microsoft Windows. IIS 7.5 Express solo admite los protocolos HTTP y HTTPS. Es portátil, almacena su configuración por usuario, no requiere privilegios administrativos e intenta evitar conflictos con servidores web existentes en la misma máquina. ^[36] IIS Express se puede descargar por separado ^[37] o como parte de WebMatrix ^[38] o Visual Studio 2012 y versiones posteriores. ^[39] (En Visual Studio 2010 y versiones anteriores, los desarrolladores web que desarrollaban aplicaciones ASP.NET usaban ASP.NET Development Server, cuyo nombre en código era "Cassini"). ^[40] De forma predeterminada, IIS Express solo atiende tráfico local. ^{[41] [39]}

IIS lanza nuevos módulos de funciones entre las versiones principales para agregar nuevas funciones. Las siguientes extensiones están disponibles para IIS 7.5:

• Servicio de publicación FTP: permite a los creadores de contenido web publicar contenido de forma segura en servidores web IIS 7 con autenticación basada en SSL y transferencia de datos. ^[42]
• Paquete de administración: agrega compatibilidad con la interfaz de usuario de administración para funciones de administración en IIS 7, incluida la autorización ASP.NET, errores personalizados, configuración FastCGI y filtrado de solicitudes. ^[43]
• Enrutamiento de solicitudes de aplicaciones : proporciona un módulo de enrutamiento basado en proxy que reenvía solicitudes HTTP a servidores de contenido según encabezados HTTP, variables de servidor y algoritmos de equilibrio de carga. ^[44]
• Administrador de bases de datos: permite una fácil gestión de bases de datos locales y remotas desde el Administrador de IIS. ^[45]
• Servicios multimedia: integra una plataforma de distribución multimedia con IIS para gestionar y administrar la distribución de multimedia enriquecida y otro contenido web. ^[46]
• Módulo de reescritura de URL: proporciona un mecanismo de reescritura basado en reglas para cambiar las URL de solicitud antes de que sean procesadas por el servidor web. ^[47]
• WebDAV: permite a los autores web publicar contenido de forma segura en servidores web IIS 7, y permite a los administradores y proveedores de alojamiento web gestionar la configuración de WebDAV mediante herramientas de administración y configuración de IIS 7. ^[48]
• Herramienta de implementación web: sincroniza servidores IIS 6.0 e IIS 7, migra un servidor IIS 6.0 a IIS 7 e implementa aplicaciones web en un servidor IIS 7. ^[49]

Según Netcraft , en febrero de 2014, IIS tenía una "cuota de mercado de todos los sitios" del 32,80%, lo que lo convierte en el segundo servidor web más popular del mundo, detrás de Apache HTTP Server con un 38,22%. Netcraft mostró una tendencia al alza en la cuota de mercado de IIS desde 2012. ^[actualizar][ ^50] Sin embargo, el 14 de febrero de 2014, W3Techs muestra resultados diferentes. Según W3Techs, IIS es el tercer servidor web más utilizado detrás de Apache HTTP Server (primer puesto) y Nginx . Además, muestra una tendencia a la baja constante para el uso de IIS desde febrero de 2013. ^[actualizar][ ^51]

Los datos de Netcraft de febrero de 2017 indican que IIS tenía una "cuota de mercado del millón de sitios más activos" del 10,19%, lo que lo convierte en el tercer servidor web más popular del mundo, detrás de Apache con el 41,41% y nginx con el 28,34%. ^[52]

IIS 4 e IIS 5 se vieron afectados por la vulnerabilidad de seguridad CA-2001-13 que condujo al infame ataque Code Red ; ^{[53] [54]} sin embargo, ambas versiones 6.0 y 7.0 no tienen problemas reportados con esta vulnerabilidad específica. ^{[55] En IIS 6.0 Microsoft optó por cambiar el comportamiento de los controladores} ISAPI preinstalados , ^[56] muchos de los cuales fueron culpables de las vulnerabilidades de 4.0 y 5.0, reduciendo así la superficie de ataque de IIS. ^[54] Además, IIS 6.0 agregó una característica llamada "Extensiones de servicio web" que evita que IIS inicie cualquier programa sin el permiso explícito de un administrador.

De forma predeterminada, IIS 5.1 y versiones anteriores ejecutan sitios web en un único proceso que ejecuta el contexto de la cuenta del sistema, ^[57] una cuenta de Windows con derechos administrativos. En la versión 6.0, todos los procesos de manejo de solicitudes se ejecutan en el contexto de la cuenta del servicio de red, que tiene muchos menos privilegios, por lo que si hubiera una vulnerabilidad en una característica o código personalizado, no comprometería necesariamente todo el sistema dado el entorno aislado en el que se ejecutan estos procesos de trabajo. ^[58] IIS 6.0 también contenía una nueva pila HTTP del núcleo ( http.sys) con un analizador de solicitudes HTTP más estricto y una caché de respuestas tanto para contenido estático como dinámico. ^[59]

Según Secunia , en junio de 2011 ^[actualizar], IIS 7 tenía un total de seis vulnerabilidades resueltas, mientras que ^[55] IIS 6 tenía un total de once vulnerabilidades, de las cuales una aún no había sido corregida. El aviso de seguridad sin corregir tiene una calificación de gravedad de 2 sobre 5. ^[55]

En junio de 2007, un estudio de Google sobre 80 millones de dominios concluyó que, si bien la cuota de mercado de IIS era del 23% en ese momento, los servidores IIS alojaban el 49% del malware del mundo, lo mismo que los servidores Apache , cuya cuota de mercado era del 66%. El estudio también observó la ubicación geográfica de estos servidores sucios y sugirió que la causa de esto podría ser el uso de copias sin licencia de Windows que no podían obtener actualizaciones de seguridad de Microsoft. ^[60] En una publicación de blog del 28 de abril de 2009, Microsoft señaló que proporciona actualizaciones de seguridad a todo el mundo sin una verificación genuina. ^{[61] [62]}

Las revelaciones de vigilancia masiva de 2013 hicieron que se conociera más ampliamente que IIS es particularmente malo en el soporte de secreto perfecto hacia adelante (PFS), especialmente cuando se usa junto con Internet Explorer. Poseer una de las claves secretas asimétricas de largo plazo utilizadas para establecer una sesión HTTPS no debería facilitar la derivación de la clave de sesión de corto plazo para luego descifrar la conversación, incluso en un momento posterior. El intercambio de claves Diffie-Hellman (DHE) y el intercambio de claves Diffie-Hellman de curva elíptica (ECDHE) son en 2013 los únicos que se sabe que tienen esa propiedad. Solo el 30% de las sesiones de Firefox, Opera y Chromium Browser la usan, y casi el 0% de las sesiones de Safari de Apple y Microsoft Internet Explorer. ^[63]

• Metabase de IIS
• Analizador de registros
• Servidor web personal de Microsoft
• Servicios de activación de Windows
• Comparación de servidores web
• Lista de servidores de correo

Wikiversidad tiene recursos de aprendizaje sobre los Servicios de Información de Internet

• Sitio web oficial