httpを介してNTLM認証を公開するセキュリティ上の懸念はありますか、それともhttpsのみにする必要がありますか？
SharePoint2010サイトをセットアップしています。心配しないでください。これはSharepointの質問ではなく、コンテキストのために追加するだけです。ほとんどのサイトは匿名になりますが、一部のユーザーはコンテンツを認証して編集することができます。 NTLMを使用します（ユーザーはADに存在します）。 http経由でインターネット経由でコンテンツを変更できるユーザーのNTLMログインを公開することについて懸念はありますか、それともhttps経由でのみ公開する必要がありますか？
プレーンHTTP上のNTLMは安全ではありません。トラフィックを受動的にスニッフィングする攻撃者、またはman-in-the-middle攻撃を実行する攻撃者は、さまざまな方法を使用して資格情報を盗んだり悪用したりできます。例えば：
- NTLMリレー攻撃：ユーザーがSharePointに対して認証されていると思った場合、攻撃者は代わりに他のサービス（Outlook/ExchangeやSMB）などのNTLMチャレンジを転送できます。ドメイン内で共有）、それにアクセスすることもできます.2番目のサービスがHTTPSを使用している場合でも！
- オフライン辞書攻撃：NTLMチャレンジアンドレスポンスを観察した後、攻撃者はパスワードPの交換を再計算できます。一致する場合、Pがユーザーパスワードであったことを意味します。攻撃者は、パスワードが見つかるまでPを試し続けることができます。この攻撃の効果はパスワードの強度に依存しますが、標準のツール、優れた辞書、および石のGPUアクセラレーションを使用することで、適度に複雑なパスワードでも解読できます。
- セッションハイジャック：SharePointに関心があるだけの攻撃者は、NTLM交換を無視して、ユーザーのSharePointセッションを乗っ取ることができます（Cookieを盗んだりJavaScriptを挿入したりするなど）。これにより、ユーザーと同じ読み取り/書き込みアクセスが可能になります。
- Webサイトのなりすまし：攻撃者は、AD資格情報を要求する偽のログイン画面を表示できます。ユーザーはおそらくSharePointを信頼しているので、ユーザーがSharePointに入力して、攻撃者にプレーンテキストのパスワードを提供する可能性はほとんどありません。
- NTLMv1ダウングレード：クライアントの構成によっては、攻撃者がクライアントにNTLMv1ハンドシェイクを実行させることができる場合があります。これにはNTLMv2のすべての暗号化の弱点（つまり、辞書攻撃とリレー攻撃に対する脆弱性）がありますが、2つのDESキー（最近はかなり安価で高速）を解読した後、ユーザーの生のNTにアクセスできますハッシュ。これに対する辞書攻撃ははるかに効率的です。さらに、この値はパスザハッシュ攻撃に使用できるため、攻撃者はパスワードなしで（ほとんどのサービスに対して）ユーザーとしてログインできます。
結論：NTLM認証は、プレーンテキストの資格情報を使用した認証と同じように扱います。この場合、これは、ネットワーク上の攻撃者から保護したいHTTPSを使用する必要があることを意味します。
NTLM overHTTPを使用して資格情報をクリアテキストで公開することはありません。他のすべてを公開するため、データは機密性や整合性の侵害（「飛行中」のデータの盗聴または変更）から保護されません。
Sharepointについてはわかりませんが、一般的なアプローチは、Sharepointにスニファを配置することです。パスワードまたはそのハッシュが渡されているのを確認できる場合、それは悪いことです。表示されない場合は、もう少し調べる必要がありますが、それでも少し難読化されている可能性があります（base64エンコーディングなど）。