使用Windows身份驗證與TCP連接的WCF的安全性

Question

我有一個WCF服務，其安全性配置如下。

<security mode="Transport"> 
    <transport clientCredentialType="Windows" protectionLevel="EncryptAndSign"/> 
</security> 

這接縫對我來說是相當安全的，但任何人都可以告訴我有多安全嗎？這是確保我的服務的好方法嗎？我應該知道哪些漏洞？

Answer 1

兩個主要機制用於實現WCF中的傳輸安全性：傳輸安全模式和消息安全模式。

傳輸安全模式使用傳輸級協議（如HTTPS）來實現傳輸安全性。傳輸模式具有被廣泛採用的優點，可用於多種平臺，計算複雜度較低。但是，它具有僅從點對點保護消息的缺點。

另一方面，消息安全模式使用WS-Security（和其他規範）來實現傳輸安全性。由於消息安全性直接應用於SOAP消息，並且包含在SOAP信封中，並與應用程序數據一起使用，因此它具有獨立於傳輸協議，更具可擴展性以及確保端到端安全性（相對於點-to-點）;它具有比傳輸安全模式慢數倍的缺點，因爲它必須處理SOAP消息的XML特性。 第三種安全模式既使用以前的模式，又帶來了兩者的優點。這種模式稱爲TransportWithMessageCredential。在這種模式下，消息安全性用於對客戶端進行身份驗證，傳輸安全性用於對服務器進行身份驗證並提供消息機密性和完整性。得益於此，TransportWithMessageCredential安全模式幾乎與傳輸安全模式一樣快，並以與消息安全相同的方式提供客戶端身份驗證可擴展性。但是，與消息安全模式不同，它不提供完整的端到端安全性。