ASP.NET-Webdienstsicherheit

Question

Ich habe in der Vergangenheit ASP.NET-Webdienste erstellt, die entweder öffentlich genutzt wurden oder die Windows-Authentifizierung verwendet haben. Ich muss jetzt einen Webdienst erstellen, der das SOAP 1.1-Protokoll verwendet, und es muss mit einem Benutzernamen und einem Kennwort vom Aufrufer gesichert werden.

Es scheint setting up the infrastructure für WCP ist Overkill für ein oder zwei Web Services. Irgendwelche anderen Vorschläge? Ich habe auch daran gedacht, ASP.NET 4.0 Beta zu verwenden. Wenn jemand das für dieses Szenario untersucht hat, wäre es hilfreich, Ihre Meinung zu erfahren.

Vielen Dank im Voraus für Ihre Vorschläge.

Answer 1

Der einfache Weg ist, einen speziellen Header zu erstellen, die für jeden Anruf die Authentifizierungsinformationen tragen und authentifizieren/autorisiert die Benutzer, den Weg

Hier ist ein Beispielcode: http://aspalliance.com/805_Soap_Headers_Authentication_in_Web_Services

Beachten Sie, dass Sie auf diese Weise senden klaren Benutzernamen und Passwort, so dass Sie SSL verwenden oder eine Art Digest-Authentifizierung verwenden möchten

Answer 2

Es gibt verschiedene Möglichkeiten, dies zu tun. Man könnte den Zugriff auf bestimmte Gruppen von IPs ermöglichen. Wenn die IP-Adresse nicht mit einer der Listen übereinstimmt, können Sie den Anruf auf Methodenebene einfach ablehnen.

Andernfalls könnten Sie eine andere Methode erstellen, die ein Token zurückgeben würde und dann alle relevanten Methoden, um dieses Token im Gegenzug zu erwarten, um die Anfrage zu verarbeiten.

Answer 3

Verwenden Sie SSL. Erzwinge jedem, der deinen Webservice nutzt, die Verwendung von https.

 //Check for Secure Channel: HTTPS 
     if (!Context.Request.IsSecureConnection) 
      return "The HTTP Connection must use Secure Sockets (HTTPS)";