шифрование сервисной стороны, дешифрование на клиенте (aes)

Question

Надеюсь, это достаточно ясно:

У меня есть служба аутентификации, которая запрашивает мою базу данных поставщика ролей aspnet. Служба аутентификации передает детали роли обратно клиенту внутри объекта User. Используя эту роль, я запрашиваю свой web.config, чтобы определить значения, которые может видеть пользователь.

Служба безопасности провела проверку и может увидеть свойство Roles объекта User. Они перехватывают этот ответ, подделывают его под ролью «администратор» и запрашивают мою веб-конфигурацию с этим.

Я смотрю на AES, чтобы зашифровать в сервисе, расшифровать обратно на клиенте, но у меня возникают проблемы с расшифровкой роли только для чтения в объекте User.

У кого-нибудь есть лучшие идеи, предложения?

Спасибо, Mike

Answer 1

Если вы хотите избежать спуфинга, вы можете подписать отправленный вами ответ и проверить подпись того, кто получает сообщение с ролью.Обычно это делается с использованием криптографии с открытым ключом (часто с сертификатами X.509).

В более общем примечании вы рассматривали возможность использования для этого существующей инфраструктуры, такой как Kerberos / ActiveDirectory?