僅允許數字簽名的應用程序訪問wcf服務

Question

我一直在網上搜索如何以及是否可以驗證呼叫應用程序是否使用正確的證書進行了數字簽名。

這是供我公司內部使用的。我們希望對我們的應用程序進行數字簽名，並且只允許我們的數字簽名應用程序訪問我們的wcf服務。這是iis的配置還是在wcf應用程序中？如何？

感謝 馬里奧斯

Answer 1

你不能做你想要默認情況下，WCF是什麼;它只是不通過彙編信息作爲其任何安全協商的一部分。

您可以通過讓程序反映其程序集並使用AssemblyName的PublicKeyToken並將其作爲請求的一部分傳遞給服務來僞裝它，但我不推薦它;您將很容易受到重播攻擊。任何有Reflector的人都可以想出如何隨時使用你的服務。

最終，您最好將某種憑證系統構建到您的服務中，並強制用戶在使用您的服務時提供這些憑據。