Защита веб-служб WCF

Question

В настоящее время я поддерживаю веб-приложение, которое в значительной степени зависит от веб-служб WCF. В настоящее время для этих служб нет безопасности, поэтому любой, кто знал адрес и параметры службы, мог получить доступ к данным из них, даже не войдя в веб-приложение.

Пример:

http://www.mydomain.com/webservices/holidays.svc/GetHolidaysForUser?id=1234 

Этот пример просто оставить строку JSON обратно в браузер без аутентификации, что-так всегда.

К сожалению, WCF - это то, с чем я не слишком знаком, поэтому я понятия не имею, с чего начать.

ПРИМЕЧАНИЕ: Я попросил, если возможно, использовать проверку подлинности с помощью форм.

Answer 1

Какую аутентификацию вы хотели бы реализовать? Active Directory или пользовательскую базу данных? Существует множество способов обеспечения безопасности. Если вы обслуживаете и размещаете веб-сайт в корпоративной среде, я настоятельно рекомендую вам использовать аутентификацию окон Active Directory. Существует множество примеров, которые подробно описывают шаг один за другим.

Answer 2

Одним из вариантов является использование клиентских сертификатов.

Это решение может быть вариантом, если вы не можете изменить текущую реализацию (что необходимо, если вы идете по пути «Аутентификация форм»). Помните, что для работы с сертификатами ИТ-операция должна генерировать и устанавливать сертификаты как на сервере, так и на клиентах. Если это возможно в вашей ситуации, непонятно из вашего вопроса.

Сначала нужно создать сертификаты (если вы не покупаете, но их генерации вашей собственной личности убедитесь, что ИТ ребята prepaired добавить свой корневой сертификат в хранилище доверенного, это также верно для пользователей вашей службы!)

Добавить это поведение конечных точек на клиентской

<behaviors> 
     <endpointBehaviors> 
     <behavior name="ClientCertificateBehavior"> 
      <clientCredentials> 
      <clientCertificate findValue="client.com" 
           storeLocation="CurrentUser" 
           storeName="My" 
           x509FindType="FindBySubjectName" /> 
      </clientCredentials> 
     </behavior> 
     </endpointBehaviors> 
    </behaviors> 

добавить/изменить этот ServerSide:

<wsHttpBinding> 
     <binding name="wsHttpEndpointBinding"> 
     <security mode="Transport"> 
      <transport clientCredentialType="Certificate" /> 
     </security> 
     </binding> 
    </wsHttpBinding> 

<endpoint binding="wsHttpBinding" bindingConfiguration="wsHttpEndpointBinding" 
     name="wsHttpEndpoint" contract="IService" /> 

настроить свой веб-сервер для использования SSL и символом, Сертификаты клиентов.

Этот ответ a shortend version of this guide