Шаблоны и передовые практики по защите службы wcf

Question

Я создаю службу wcf, которая должна быть защищена, поскольку информация, которую клиент обменивается со службой, чувствительна к компании. Я планирую разместить его на iis6. Что было бы лучше, чтобы никто, кроме клиентского приложения, не мог вызывать службу для получения / установки данных?

Сервисные вызовы должны происходить под реальной идентификацией пользователя, так как все вызовы должны контролироваться и проверяться. Я планирую использовать PolicyInjection для вызовов аудита.

Answer 1

Все зависит.

Но в принципе есть два основных подхода:

• Транспортная безопасность с SSL с базовым HTTBBinding
• Безопасность SSL с wsHttpBinding

Если вы предоставите больше информации, я смогу вам помочь.

Существуют определенные аспекты безопасности:

1) Целостность данных: никто не вмешивался в данные, но сами данные не являются секретными. Это достигается подписью.

2) Безопасность данных: чтобы никто не мог видеть конфиденциальную / секретную информацию. Это шифрованием.

3) Аутентификация: отправьте имя пользователя / пароль или используйте сертификаты. Это гарантирует, что человек тот же, кто требует.

4) Авторизация: чтобы убедиться, что у человека есть доступ к определенным функциям службы.