pouvoirs de manipulation dans une application consommant un service WCF avec WIF / Genève

Question

Je me demande quelles sont les meilleures pratiques dans une application client (WinForms / console / whatever autre) en ce qui concerne la consommation de WCF qui est autorisé et authentifié à l'aide WIF (autrefois appelé genève).

En outre à un niveau de service, est-il possible de mettre en cache le jeton de sorte que le voyage à la STS n'est pas necesary pour chaque opération WCF? (Plus d'informations sur ce aussi aprécié) Merci

Answer 1

Vous devez envoyer le jeton à chaque fois, comme vous devez envoyer un nom d'utilisateur et mot de passe à chaque fois à un service Web sécurisé avec les noms d'utilisateur et mots de passe. Tout simplement parce que vous utilisez un jeton SAML ne change pas.

Vous pouvez toutefois mettre en cache le jeton sur le côté client - chaque jeton est valide à partir et valide qui lui est associée ainsi, si le service web ne vérifie pas pour l'unicité de chaque jeton via l'ID d'assertion vous pouvez alors mettre en cache sur la client. Toutefois, un service web bien écrit peut bien être vérifier l'ID d'assertion pour arrêter les attaques de relais.

Answer 2

En utilisant SAML ne signifie pas que vous pouvez vous contenter de passer le jeton juste que ce ne est pas une partie de la signature est une charge utile implicite et peut avoir confiance commune été développée entre les applications disparates dans la même entreprise. Ainsi, vous obtenez en fait loin avec l'utilisation de l'entretien de la confiance. En ce qui concerne la mise en cache est que vous pouvez conerned et essayer vitesse pour cela.