Безопасное соединение с использованием SOAP

Question

Мне нужно безопасно вызвать веб-сервис .NET SOAP. Он должен быть защищен таким образом, чтобы другие не могли вызывать методы WebService, а также «посредник» не должен понимать содержание сообщений.

Вызывающим также будет веб-приложение .NET, установленное на другом IIS. Я могу спроектировать методы веб-сервиса так, как хочу, поэтому никаких ограничений там нет.

Я исследовал HTTPS / SSL с сертификатами, но я не знаю, действительно ли это хорошо решает мои проблемы? Например, было бы неприятно, если бы у сертификатов была дата истечения срока действия, хотя это никоим образом не является демонстрацией.

Так, как бы я поступил так хорошо??

Спасибо за любую помощь.

Answer 1

Как сказал @BrokenGlass, SSL только шифрует трафик между точками. Он не обеспечивает защиту отдельных функций от использования без авторизации. Вот хорошая статья на эту тему с использованием заголовков SOAP:

Как выполнить пользовательскую аутентификацию с использованием заголовков SOAP

Это можно смешивать с любой формой аутентификации, кроме Windows Integrated. Чтобы использовать проверку подлинности Windows, вам потребуется отдельная библиотека, которая обращается к Active Directory через пространство имен DirectoryServices.

Answer 2

HTTPS / SSL работает нормально.Просто убедитесь, что ваш сертификат обновлен вовремя, чтобы избежать предупреждений и сообщений для вашего клиента.

Answer 3

Мне нужно вызвать веб-службу .NET SOAP в безопасный способ. Это должно быть безопасно в таким образом, что другие не могут назвать Методы WebService, а также он должен не будет возможно для "среднего человека" чтобы понять содержание сообщения.

HTTPS / SSL решает только часть «среднего человека» того, чего вы хотите достичь. Вам все равно потребуется правильная аутентификация на вашем веб-сервисе. Это можно сделать, используя встроенную проверку подлинности с помощью форм и предоставив метод входа в систему, который возвращает билет проверки подлинности.

Answer 4

Предполагая, что вы управляете инфраструктурой, а затем сохраняете сервер, который предоставляет веб-службы, за брандмауэром, чтобы он был доступен только с веб-серверов, и реализация IPSec должна обеспечивать необходимую безопасность.

С точки зрения программного обеспечения, эта статья содержит все, что вам нужно знать о защите взаимодействия служб.