06 2011 档案

[WCF权限控制]从两个重要的概念谈起：Identity与Principal[下篇]
摘要：毫不夸张地说，安全主体（Principal）是整个授权机制的核心。我们可以简单地将将安全主体定义成能够被成功实施授权的主体。一个安全主体具有两个基本的要素：基于某个用户的安全身份和该用户具有的权限。绝大部分的授权都是围绕着“角色”进行的，我们将一组相关的权限集和一个角色绑定，然后分配给某个用户。所以在基于角色授权环境下，我们可以简单地将安全主体表示成：身份 + 角色。 阅读全文
posted @ 2011-06-30 14:57 Artech 阅读(9364) 评论(15) 推荐(19) 编辑
[WCF权限控制]从两个重要的概念谈起：Identity与Principal[上篇]
摘要：我们为应用建立安全保障体系的一个重要的目的在于：通过权限控制让用户只能执行被允许的功能，访问被许可的资源。这就是本系列文章讨论的主题授权。对于WCF服务来说，一个服务具有若干操作，而这些操作由于提供的功能或者内部访问的资源不同，需要进行相应的授权。在正式介绍WCF授权之前，先来谈谈两个重要的概念：身份与安全主体。 阅读全文
posted @ 2011-06-29 22:56 Artech 阅读(9288) 评论(22) 推荐(26) 编辑
通过添加HTTP Header实现上下文数据在WCF的自动传递
摘要：多年之前，我写了一篇通过WCF扩展实现上下文信息从客户端自动传递到服务端的文章，其实现机制很简单：将上下文信息存放到SOAP Header进行传递。那么对于非SOAP消息的RESTful服务就不使用了。为了解决这个问题，我们可以将存放上下文信息的地方从SOAP Header替换成HTTP Header。这篇为你消息讲述具体的实现[源代码从这里下载]。 阅读全文
posted @ 2011-06-28 20:14 Artech 阅读(7651) 评论(15) 推荐(17) 编辑
[WCF安全系列]通过绑定元素看各种绑定对消息保护的实现
摘要：对消息进行签名和加密分别解决了消息的一致性和机密性问题。而最终是仅仅采用签名还是签名与加密共用取决于契约中对消息保护级别的设置。但是具体的签名和加密在整个WCF框架体系中如何实现？是采用对称加密还是非对称加密？密钥如何而来？相信这些问题在本篇文章中你会找到答案 阅读全文
posted @ 2011-06-27 07:40 Artech 阅读(3098) 评论(8) 推荐(11) 编辑
[WCF安全系列]消息的保护等级[下篇]
摘要：在《上篇》中，我们着重讨论了消息的保护等级如果在契约中定义，定义在不同契约（服务契约、错误契约和消息契约）中的消息保护等级具有怎样的层级关系，以及在默认情况下各种绑定采用怎样的保护等级。在下篇中，我们进一步来探讨消息保护等级和绑定的关系。 阅读全文
posted @ 2011-06-21 23:04 Artech 阅读(4349) 评论(13) 推荐(9) 编辑
[WCF安全系列]消息的保护等级[上篇]
摘要：到目前为止，对于WCF安全传输的三个方面，我们已经对认证进行了详细的介绍，现在我们来关注另外两个话题：消息的一致性和机密性，两者又统称为消息保护（Message Protection）。消息安全等级指的是对整个消息或者消息的某个部分实施安全保护采用的等级。按照级别由低到高，WCF支持三种不同的安全等级 阅读全文
posted @ 2011-06-20 23:20 Artech 阅读(5627) 评论(25) 推荐(15) 编辑
[WCF安全系列]谈谈WCF的客户端认证[X.509证书认证]
摘要：前面介绍Windows认证和用户名/密码认证这两种典型的客户端认证模式，我们最后来介绍最后一种客户端认证方式，即客户端凭证类型为X.509证书时服务端采用的认证，简称为证书认证。本篇文章主要涉及两个主题：在客户端如何设置X.509证书作为客户端凭证；在服务端如何设置不同的模式来对客户端的证书凭证进行认证 阅读全文
posted @ 2011-06-15 22:01 Artech 阅读(9993) 评论(17) 推荐(7) 编辑
[WCF安全系列]谈谈WCF的客户端认证[用户名/密码认证]
摘要：对于基于Internet的应用，基于用户名和密码的认证方式是最为常用的，而WCF为你提供了不同模式的用户名认证方式:Windows、MembershipProvider和Custom 阅读全文
posted @ 2011-06-13 21:13 Artech 阅读(16140) 评论(16) 推荐(14) 编辑
[WCF安全系列]谈谈WCF的客户端认证[Windows认证]
摘要：结束了服务认证的介绍之后，我们接着介绍WCF双向认证的另一个方面，即服务对客户端的认证，简称客户端认证。客户端认证采用的方式决定于客户端凭证的类型，内容只要涉及基于以下三种典型客户凭证类型的认证：Windows、用户名和X.509证书。先来谈谈Windows认证 阅读全文
posted @ 2011-06-12 21:17 Artech 阅读(9311) 评论(21) 推荐(7) 编辑
[WCF安全系列]服务凭证（Service Credential）与服务身份（Service Identity）
摘要：在采用TLS/SSL实现Transport安全的情况下，客户端对服务证书实施认证。但是在默认情况下，这种认证仅仅是确保服务证书的合法性（通过数字签名确保证书确实是由申明的CA颁发）和可信任性（证书或者CA证书存储于相应的可信赖存储区）。而WCF提供服务证书并不限于此，客户端对服务认证的模式应该是这样的：服务端预先知道了服务的身份，在进行服务调用之前，服务端需要提供相应的凭证用以辅助客户端确认调用的服务具有预先确定的身份。对于这样的服务认证模式，具有两个重要的概念，即服务凭证和服务身份。 阅读全文
posted @ 2011-06-12 11:40 Artech 阅读(10747) 评论(7) 推荐(11) 编辑
[WCF安全系列]实例演示：TLS/SSL在WCF中的应用[HTTPS]
摘要：上一篇演示的是绑定类型为NetTcpBinding情况下基于TLS/SSL的Transport安全模式的实现，接下来我们改用另外一种绑定：WS2007HttpBinding。对于基于HTTP的绑定，Transport安全模式的实现方式又根据寄宿方式的不同而具有一定的差异 阅读全文
posted @ 2011-06-02 22:32 Artech 阅读(15110) 评论(16) 推荐(9) 编辑