Стратегия безопасности WCF для предотвращения совместного использования имени пользователя / паролей

Question

Я хочу разработать сервис WCF для моего клиента, который можно будет вызывать через Интернет у делового партнера моего клиента.Какую стратегию безопасности WCF следует применять, чтобы предотвратить сценарий, в котором деловой партнер передает свое имя пользователя / пароль для службы конкуренту моего клиента, позволяя конкуренту вызывать службу таким образом, чтобы служба думала, что это деловой партнерпризвание.Можно ли в безопасности WCF проверить, действительно ли вызывающий абонент службы является деловым партнером, а не третьей стороной, использующей имя пользователя / пароль делового партнера?Любой совет будет высоко ценится.

Answer 1

Это обычно обрабатывается соглашениями между партнерами.Ваш партнер должен подписать NDA с ​​санкциями $$$ за предоставление вашей конфиденциальной информации другой стороне.

Люди несут ответственность за обеспечение учетных данных.Вы никогда не сможете обеспечить безопасность своего сервиса, чтобы избежать раскрытия учетных данных.Даже сертификат клиента может быть установлен на другом компьютере.

Способы сделать это сложнее, чем WCF - списки доступа для IP-адресов, VPN-туннелей и т. Д.

Answer 2

Вы можете уменьшить его, используя взаимную аутентификацию сертификата с использованием сертификата клиента SSL для идентификации клиента. Однако этого недостаточно, поскольку мошеннический клиент может экспортировать сертификат и передать его конкуренту. Единственный другой способ, о котором я могу думать, если вы знаете IP-адрес вашего клиента, вы можете ограничить запрос на подключение только этими IP-адресами, используя правила брандмауэра.