針對Active Directory進行身份驗證的Web服務的安全密碼解決方案？

我正在修改的應用程序有一個Web服務，並且該Web方法上的一個Web方法用於根據活動目錄對用戶進行身份驗證。因此，通過的authenticateUser Web方法稱爲當前的代碼看起來是這樣的：針對Active Directory進行身份驗證的Web服務的安全密碼解決方案？

string domainAndUsername = aDomain + @"\\" + username; 
string ldsPath = buildLdsPath(searchBase); 
DirectoryEntry entry = new DirectoryEntry(ldsPath, domainAndUsername, 
    password); 

try 
{ 
    //Bind to the native AdsObject to force authentication. 
    object obj = entry.NativeObject; 

    DirectorySearcher search = new DirectorySearcher(entry); 

    search.Filter = "(sAMAccountName=" + username + ")"; 
    search.PropertiesToLoad.Add("cn"); 
    SearchResult result = search.FindOne(); 

    // more code to validate the result, etc... 
}

當我開始看這個代碼，這令我擔心的第一件事就是參數的Web方法是這樣的：

[WebMethod] 
public ResultObj AddRole(string roleToAdd, string username, string password) 
{ 
    // code that calls above Authentication fragment... 
}

因此，當請求發送到service.asmx頁面時，當前Web服務正在期待一個密碼字符串，推測爲通過網絡以明文的形式作爲XML發送。

有沒有人處理過這類問題？我可以使用替代的Active Directory身份驗證機制來避免傳遞純文本密碼嗎？我可以自己想出的最佳選擇是使用加密密碼調用WebMethod，並讓另一方的代碼對其進行解密。但是，我更喜歡更好的解決方案 - 例如：是否有某種方式使用單向散列而不是密碼來搜索DirectoryEntry？

編輯：

其他細節：爲了這一點，我還沒有考慮過SSL，因爲這是一種工具，是內部的公司，因此它似乎矯枉過正，可能有問題（這是將在公司內部網上運行，而不是外部可見）。我甚至擔心發送純文本密碼的安全性的唯一原因是，即使在企業內部網上，惡意軟件的數量也在不斷增加（可能是密碼嗅探）。

來源

2009-04-08 Ogre Psalm33

對於我們的特殊情況，因爲客戶端和Web服務都在我們公司的Intranet上運行，所以可能適用於我們的解決方案是使用集成Windows NTLM身份驗證處理客戶端上的身份驗證，然後只需讓客戶端向Web服務提供憑據即可。下面是客戶端代碼：

public void AddRole(string roleName) 
{ 
    webSvc.Credentials = CredentialCache.DefaultCredentials; 
    // Invoke the WebMethod 
    webSvc.AddRole(roleName); 
}

Web方法現在看起來是這樣：

[WebMethod] 
public ResultObj AddRole(string roleToAdd) 
{ 
    IIdentity identity = Thread.CurrentPrincipal.Identity; 
    if (!identity.IsAuthenticated) 
    { 
     throw new UnauthorizedAccessException(
       ConfigurationManager.AppSettings["NotAuthorizedErrorMsg"]); 
    } 
    // Remaining code to add role.... 
}

我必須再次強調，如果服務器信任客戶端這種解決方案可能只工作，既要講到同一個Active Directory服務器。對於公共Web服務，其他答案之一是更好的解決方案。

欲瞭解更多信息，請參見：