WCF-Sicherheit - Eine Liste von dem, was ich nicht verstehe,

Question

Ich werde im Kreis in Bezug auf WCF und Sicherheit, so dass ich eine Last von Fragen gehen schieben bin nur hier und hoffe jemand kann mir ein klares Bild gewinnen helfen.

1. Kann jemand bitte geben Sie mir eine plain English Erklärung für Verkehr vs Meldeebene Sicherheit.

2. I denkt Ich habe einen Dienst unter SSL ausgeführt wird, die die Benutzer auf ihren Windows-Anmeldeinformationen basieren authentifiziert. I auch denken Ich verstehe, wie über die Principal Zugang zu einer Service-Methode zu begrenzen. Aber wie tatsächlich abrufen ich den aktuellen IPrinciple, so kann ich unterschiedliche Ergebnisse abhängig, wer den Dienst anrufen?

3. Ich habe herausgefunden, wie aktivieren Tracing und ich kann meine Trace-Protokolle mit „Microsoft Service Trace Log Viewer“ aber krank verdammt sein, wenn ich kann herausfinden, sehen, was Im angezeigt wird. Gibt es eine anständige Ressource zu erklären, wie dieses Ding zu benutzen?

4. Wenn Sie das "Zertifikat" ClientCredentialType verwenden, ist diese somehting anders SSL?

5. Wenn Sie die „Windows“ ClientCredentialType Wie kann ich sehen, was Windows-Benutzer durchlaufen wird?

6. Meine Anforderungen meine, ich habe basicHttpBindings zu verwenden - Bin ich richtig in der Annahme:

   • Ich habe nur Transport Level Security mir zur Verfügung?
   • Ich kann benutzerdefinierten Benutzername / Passwort für implementieren dieser Bindung?

Ich weiß, diese Fragen dumm erscheinen mögen, aber jede Hilfe bei der Klärung würde wirklich helfen.

EDIT:

7. Wie kann ich benutzerdefinierte SOAP-Header zu meinem Dienst in einem ähnlichen Herren hinzufügen Dienstleistungen .asmx? Ist dies ein gültiger Ansatz?

EDIT:

Zusätzlich zu den oben genannten Fragen würde ich gerne wissen, ob es möglich ist, ein Windows Mobile-Gerät auf seine Windows-Benutzer durch Überprüfen Active Directory basiert zu authentifizieren. Denn alles, was ich bisher gefunden habe, scheint es unwahrscheinlich.

N. B. Für diejenigen, die nicht wissen, was für Windows-Version des CE von WCF seine: Transport Level Security nur, und entweder kein / Zertifikat für den Type Client Credential. So scheint es, dass CE WCF wont dies standardmäßig erlauben, aber könnte ich sicher diese Informationen in der Nachricht senden (über die Methodensignatur) und würde dies eine akzeptable Art und Weise sein, um diese Art von Informationen zu senden?

Answer 1

Ich weiß nicht, alle Antworten, aber hier sind die, die ich kenne

1. Transportsicherheit bedeutet, dass die Kommunikation verschlüsselt wird, während die Nachricht transportiert wird, damit es nicht und oder manipuliert gelesen werden kann. Nachrichtensicherheit bedeutet, den Inhalt der Nachricht selbst den Transport jedoch verschlüsselt ist nicht unbedingt. Nachrichtensicherheit kann beispielsweise mit HTTP verwendet werden, während der Transportsicherheit würde die Verwendung von HTTPS (oder anderen Bindungen) erfordern.
2. IPrincipal Haupt = Thread.CurrentPrincipal;
3. keine Antwort
4. Ja, obwohl SSL selbst Zertifikate verwendet, es ist nicht das gleiche. Sie können den Client ein Zertifikat senden, die an den Dienst bekannt ist oder die an von einer vertrauenswürdigen Stelle signiert ist, dass der Dienst weiß, wer der Kunde ist und ob sie zu ermöglichen, den Anruf zu machen oder nicht. Verwendung von SSL wird nur sicherstellen, dass Dritte nicht die Kommunikation zwischen dem Kunden und den Service-Pakete durch das Abfangen der Netzwerk lesen kann.
5. IPrincipal Haupt = Thread.CurrentPrincipal; principal.Identity.Name;
6. Nein.
   • Sie haben keine, Verkehr, Nachrichten- und Mixed-Sicherheit als Ihre Optionen aber Transport erfordert den Endpunkt aufrufen, da das ist, unter Verwendung von HTTPS die gesicherte Version des Protokolls
   • EDIT: Überprüfen Sie die Diskussion unter dieses Forum .

Und die Fragen sind sicherlich nicht dumm.

P. S. Ich kann das Buch Programmierung WCF-Dienste von Juval Löwy empfehlen, es ist wirklich in der Tiefe und kommt mit einem wirklich nützlichen Rahmen WCF / vereinfachen bestimmte Dinge erstrecken.

Answer 2

Schauen Sie sich WCF Security Guidance . Wenn Sie weitere Informationen benötigen, sollten Sie in der Lage sein, alles dort zu finden, die sein ganz vollständig. Obwohl es gab wie @olle eine ziemlich vollständige Antwort aussieht ....

Answer 3

Überprüfen Sie auch diese WCF gemeinsame Sicherheit Szenarien