Защита службы WCF с помощью basicHttpBinding, которая поддерживает потоковое

Ответ 1

Хорошо, я нашел много проблем, связанных с безопасностью/потоковой передачей при работе над этой проблемой. Hack (er... um... обходной путь). Наконец, я решил создать новый DataContract, который наследует MemoryStream и украсит его свойством BaseStream (для хранения данных, которые я хочу передать) вместе с соответствующими свойствами, используемыми для простая аутентификация.

Вот результат DataContract:

[DataContract]
[KnownType( typeof( MemoryStream ) )] 
public class StreamWithCredentials : MemoryStream
{
    [DataMember]
    public Stream BaseStream { get; set; }

    [DataMember]
    public string Username { get; set; }

    [DataMember]
    public string Password { get; set; }
}

Вышеуказанный DataContract становится входным параметром моего метода обслуживания. Первым действием, которое выполняет моя служба, является аутентификация предоставленных учетных данных с известными действительными значениями и продолжение по мере необходимости.

Теперь я знаю, что это не самый безопасный параметр, но моя директива заключалась в том, чтобы избежать использования SSL (что я даже не уверен в любом случае - как заявил здесь) для этого внутреннего процесса.

Это, как говорится, было лучшим решением вышеупомянутой проблемы, которую я мог бы придумать, надеюсь, что это поможет кому бы то ни было, затронутому этой проблемой.

Спасибо всем, кто ответил.

Ответ 2

Здесь вы можете сделать несколько вещей:

• добавьте сертификат на каждую машину, которая разрешает использовать вашу службу, и проверьте этот сертификат. Это позволяет вам исключить "несанкционированные" машины - вы не можете ограничить его конкретным приложением.
• как и выше, но включите сертификат, встроенный в ваше приложение winforms, и отправьте его оттуда (не храните его в хранилище сертификатов)
• требуется имя пользователя/пароль, о которых только ваше конкретное приложение знает и может передать вашу услугу; например кто-то еще не сможет представить соответствующие учетные данные

РЕДАКТИРОВАТЬ 2: ОК, поэтому подход с именем пользователя/пароля, похоже, выходит из-под контроля... что если у вас есть базовая транспортная безопасность (SSL) для базовой защиты, а затем используйте MessageContract для определения заголовка и тело вашего сообщения SOAP, укажите конкретное значение в заголовке, а затем просто проверьте наличие этого элемента в заголовке в своей службе?

Что-то вроде этого:

[DataContract]
class YourRequestData
{
 ...
}

[MessageContract]
public class YourRequest
{
  [MessageBodyMember]
  public YourRequestData bodyData { get; set; }

  [MessageHeader]
  public string AppThumbprint { get; set; }
}

И затем на вашем сервере в вашем коде просто проверьте наличие и достоверность этого кода AppThumbprint:

public Stream RequestStream(YourRequest request)
{
  if(AppThumbprintIsValid(request.AppThumbprint))
  {
     .... begin your streaming
  }
}

Это может оказаться намного проще, чем сценарий безопасности имени пользователя и пароля.

Марк

Ответ 3

Если вы хотите использовать basicHttpBinding (для взаимодействия), вы можете передавать свои учетные данные только на уровне сообщений. Вы должны установить свою конфигурацию безопасности TransportWithMessageCredential.

Для этого вам необходимо создать SSL-канал, поэтому вам нужен сертификат на стороне сервера, и для клиента не обязательно иметь его.

Ответ 4

Пожалуйста, поправьте меня, если я ошибаюсь, но:

если вы используете проверку подлинности форм для своей службы WCf (на asp.net), просто добавьте метод входа в свою службу, в ней вы создадите необходимый файл cookie (formsAuthentication.Authenticate()). который автоматически отправляется с ответом, клиент может затем вызывать API потока, не требуя дополнительных параметров (требование для него быть STREAM), и вы можете проверить идентификатор в потоковой api, прежде чем запускать возвращаемый поток.

Что касается обеспечения доступа ко всему WCF, то возникает ощущение, что внедрение сертификата в приложение .net - это один из способов. они должны будут использовать ваше приложение, чтобы добраться до него.

вы можете указать asp.net/wcf не предоставлять wsdl или, точнее, не автоматически генерировать wsdl. Без доступа wsdl им становится намного сложнее генерировать прокси-сервер....

Ответ 5

Можно использовать проверку подлинности Windows с помощью потоковой передачи и SSL, но вы должны использовать TransportWithMessageCredential:

<basicHttpBinding>
    <binding name="FileService.FileServiceBinding" maxReceivedMessageSize="2147483647" maxBufferSize="2147483647" transferMode="Streamed">
        <readerQuotas maxDepth="2147483647" maxStringContentLength="2147483647" maxArrayLength="2147483647" maxBytesPerRead="2147483647" maxNameTableCharCount="2147483647" />
        <security mode="TransportWithMessageCredential">
            <transport clientCredentialType="Windows" />
        </security>
    </binding>
</basicHttpBinding>

Вам нужно установить код proxy.ClientCredentials.UserName.UserName и proxy.ClientCredentials.UserName.Password.

Ответ 6

Если это будет приложение, которое живет в интрасети, может быть проще всего создать новую группу в Active Directory и предоставить членам этой группы возможность использовать эту услугу.

Вы можете добавить аутентификацию (используя учетные данные Windows) с чем-то вроде этого:

<basicHttpBinding> 
 <security mode="TransportCredentialOnly"> 
  <transport clientCredentialType="Windows" /> 
 </security> 
</basicHttpBinding> 

Можно ли авторизовать, украсив интерфейс вашими методами обслуживания:

<PrincipalPermission(SecurityAction.Demand, Role:="MyAppsUsers")> _ 
Public Function MyMethod() As String Implements IService.MyMethod 

Вот хорошая ссылка на Security в WCF. В нем много вариантов "Как в конце" (для вас может быть полезен один под названием "Как использовать - Использовать basicHttpBinding с Windows Authentication and TransportCreditals" ).
Wcf Secruity

[Отказ от ответственности: я также новичок в WCF и не делал этого точного дела, прежде чем так извиняюсь, если это немного отключено!]