So schränken Sie den Zugriff auf einen WCF-Dienst mit einem freigegebenen Schlüssel ein

Question

Ich habe einige Dienste, die von Clients innerhalb einer sicheren Zone genutzt werden. Ich wurde gebeten, diese Dienste in der Regel gegen Entwicklungsclients zu schützen, die fälschlicherweise eine Verbindung mit dem falschen Dienst herstellen.

Die Idee war, Pre-Shared Key (wie ein GUID), der sowohl für die Kunden in der Konfigurations gesetzt ist und die Host-Dienst. Immer wenn der Client versucht, den Dienst zu verwenden, muss er den richtigen Schlüssel anzeigen.

Wie würde ich mich über einen Dienst zu konfigurieren, diese Art von Sicherheit zu implementieren? Wie viel Anpassung ist notwendig?

Answer 1

Wenn Sie es mit dem Schlüssel tun, würden Sie den Vertrag des Dienstes ändern, um ein Feld zu schließen, dass der Schlüssel in platziert werden würde. Dann überprüfen Sie den Wert in dem Schlüssel auf der Server-Seite.

in Ihrem Fall jedoch könnten Sie die IP-Adressen wurden erlaubt den Zugriff auf den Dienst, durch die Netzwerk-Konfiguration beschränken. Dies wäre weniger Arbeit als das Ändern der Signatur Ihrer Dienste.

Answer 2

würde ich der Kunde den Schlüssel als Extra-Message-Header senden und eine IDispatchMessageInspector erstellen für den Header zu prüfen und gegebenenfalls abzulehnen. This Code Project beschreibt den Filterteil basierend auf der IP-Adresse.

Answer 3

Sie könnte leicht eine benutzerdefinierte Message-Header zu jedem Anruf hinzufügen - recht einfach zu tun, tatsächlich, und es „verschmutzen“ nicht Ihren echten Service-Vertrag, zum Beispiel Sie müssen Ihren Serviceaufrufen keine zusätzlichen Parameter hinzufügen, um dies zu bestehen.

Sehen Sie diese Artikel für Informationen darüber, wie dieses Ziel zu erreichen:

• WCF Custom Message Headers
• HOw do I add a custom header to every WCF message?
• WCF Messaging fundamentals

Grundsätzlich müssen Sie Ihren Anruf an den Dienst in einer Operation wickeln - das ist alles, keine ClientMessageInspector und andere Tricks benötigt :-)

using (OperationContextScope scope = new OperationContextScope(proxy)) 
{ 
    Guid myToken = Guid.NewGuid(); 

    MessageHeader<Guid> mhg = new MessageHeader<Guid>(myToken); 
    MessageHeader untyped = mhg.GetUntypedHeader("token", "ns"); 

    OperationContext.Current.OutgoingMessageHeaders.Add(untyped); 

    proxy.DoOperation(...); 
    } 

und auf der Serverseite, können Sie einfach die IncomingMessageHeaders Sammlung inspizieren:

Guid myToken = OperationContext.Current. 
       IncomingMessageHeaders.GetHeader<Guid>("token", "ns"); 

Marc