Связь между веб-приложениями, 1 сертификат SSL, у других нет

Question

Такая ситуация: у меня есть один веб-сервис без SSL, который предоставляет две страницы для другого веб-приложения. Когда пользователь отправляет эти страницы, в веб-службу отправляется файл XML с личной информацией.

Как я могу обеспечить необходимую защиту конфиденциальности в файле XML? Достаточно ли хорош один сертификат для обеспечения надлежащей безопасности?

Я не уверен насчет этого, и я нахожусь в стадии подготовки проекта ... Так что нужно знать соответствующую работу над этой частью ...

Answer 1

В качестве альтернативы SSL вы можете зашифровать файл самостоятельно, используя любой из алгоритмов, доступных при использовании System.Security.Cryptography, но затем вам придется разработать механизм для обмена ключами.

Однако самым простым способом будет использование обеих веб-служб с использованием конечных точек SSL. Это позаботится обо всех ваших соображениях конфиденциальности, целостности и идентичности одним махом.

Answer 2

Самым простым решением, безусловно, является использование TLS, ex-SSL (широко поддерживается на всех языках программирования).

Нет необходимости покупать сертификат (и он не обеспечивает дополнительной безопасности, он в основном предназначен для улучшения самочувствия PHB): либо создайте самозаверяющие сертификаты, либо установите свой собственный CA.

Answer 3

Сертификаты привязаны к имени хоста сервера (или, с подстановочными сертификатами, ко всем хостам в домене). Поэтому, если две службы находятся на одном хосте, обе могут использовать один и тот же сертификат.

Если они не находятся на одном и том же хосте, безопасность транспорта не будет обеспечиваться для службы без SSL, если только это не добавлено отдельно. WCF поддерживает шифрование сообщений (или их частей).