WCF Security - Une liste de ce que je ne comprends pas

Question

Je tourne en rond en ce qui concerne la WCF et la sécurité, je vais donc poser toute une série de questions et espérer que quelqu'un pourra m'aider à obtenir une image claire.

1. Quelqu'un peut-il me donner une explication en anglais clair de la sécurité au niveau du transport contre le message.

2. Je pense que j'ai un service fonctionnant sous SSL qui authentifiera l'utilisateur en fonction de ses informations d'identification Windows. Je pense aussi croire que je comprends comment limiter l’accès à une méthode de service via PrincipalPermission. Mais comment puis-je récupérer le principe IP actuel afin de pouvoir obtenir des résultats différents en fonction de la personne qui appelle le service?

3. J'ai découvert comment activer le traçage et je peux voir mes journaux de suivi à l'aide de "Visionneuse du journal de suivi du service Microsoft" " mais malheur si je peux comprendre ce que je suis affiché. Y at-il une ressource décente expliquant comment utiliser cette chose?

4. Lors de l'utilisation du " Certificat " clientCredentialType, est-ce quelque chose de différent de SSL?

5. Lors de l'utilisation du & Windows; Windows " clientCredentialType comment puis-je voir quel utilisateur Windows est transmis?

6. Mes exigences signifient que je dois utiliser basicHttpBindings - Suis-je juste en supposant que:

   • Je ne dispose que de la sécurité du niveau de transport?
   • Je ne peux pas implémenter un nom d'utilisateur / mot de passe personnalisé pour cette liaison?

Je sais que ces questions peuvent sembler stupides, mais toute aide à la clarification aiderait vraiment.

EDIT:

7. Comment puis-je ajouter des en-têtes SOAP personnalisés à mon service de manière similaire aux services .asmx? Est-ce une approche valide?

EDIT:

En plus des questions ci-dessus, j'aimerais savoir s'il est possible d'authentifier un appareil Windows mobile en fonction de son utilisateur Windows en effectuant une vérification par rapport à Active Directory. Malgré tout ce que j'ai trouvé jusqu'à présent, cela semble peu probable.

N.B. Pour ceux qui ne savent pas ce qui est disponible pour la version de Windows CE de WCF, c’est: Sécurité au niveau du transport uniquement et aucun / certificat pour le type d’informations d’identité client. Il semble donc que la WCF de CE ne le permettra pas par défaut, mais pourrais-je envoyer en toute sécurité ces informations dans le message (via la signature de la méthode) et s'agirait-il d'un moyen acceptable d'envoyer ce type d'informations?

Answer 1

Je ne connais pas toutes les réponses, mais voici celles que je connais

1. sécurité du transport signifie que la communication est cryptée pendant que le message est transporté afin qu'il ne puisse pas être lu ni falsifié. La sécurité des messages signifie que le contenu du message lui-même est crypté. Le transport ne l'est pas nécessairement. La sécurité des messages peut par exemple être utilisée avec HTTP alors que la sécurité du transport nécessiterait l'utilisation de HTTPS (ou d'autres liaisons).
2. IPrincipal principal = Thread.CurrentPrincipal;
3. pas de réponse
4. Oui, même si SSL utilise des certificats, ce n'est pas la même chose. Vous pouvez demander au client d’envoyer un certificat connu du service ou signé par une autorité de confiance afin que le service sache qui est le client et s’il est autorisé à effectuer ou non l’appel. L'utilisation de SSL garantira uniquement que des tiers ne peuvent pas lire la communication entre le client et les services en interceptant les packages réseau.
5. IPrincipal principal = Thread.CurrentPrincipal; principal.Identity.Name;
6. Non.
   • Vous avez les options sécurité Aucun, Transport, Message et Mixte comme options. Cependant, la sécurité du transport nécessitera d'appeler le point de terminaison à l'aide du protocole HTTPS, étant donné que la version sécurisée du protocole est
   .
   • EDIT: consultez la discussion sur ce forum .

Et les questions ne sont certainement pas stupides.

P.S. Je peux recommander le livre programmation des services WCF de Juval Lowy, qui est vraiment en profondeur et vient avec un framework vraiment utile pour étendre WCF / Simplifier certaines choses.

Answer 2

Consultez les Consignes de sécurité de la WCF . Si vous avez besoin de plus d’informations, vous devriez être en mesure de tout trouver là-bas, c’est assez complet. Même si on dirait que @olle a donné une réponse assez complète ....

Answer 3

Vérifiez également ces Scénarios de sécurité communs WCF

.