Ma scusa, è perfettamente normale allora che ti chiedesse una password: mica può consentire l'accesso ad una cartella virtuale protetta da ACL a chiunque (o lanciare un eseguibile contenuto in una cartella protetta), considerato anche che il processo di IIS viene eseguito in un security context particolare, per cui senza impersonare l'utente indicatogli dall'utente (scusa il gioco di parole) non ha nemmeno l'accesso alla tua cartella.