WCF BasicHttpBinding 安全解析（6）Digest验证(IIS宿主)

Digest验证方式在Basic验证方式的基础上增加了摘要信息，采用的是挑战-应答模式。Digest验证也是Http安全验证的标准（RFC 2617）。

首先我们修改服务端配置文件启用Digest验证，如代码清单11-95。

代码清单11-95 启用Digest验证

<basicHttpBinding>
<binding 
name="basicBindingConf">
<security 
mode="TransportCredentialOnly">
<transport 
clientCredentialType="Digest">
</transport>
</security>
</binding>
</basicHttpBinding>

同样，我们需要配置IIS启用摘要式身份验证，然后更新测试站点的服务引用。

默认情况下是不需要显示传递用户名和密码等信息给服务端的，如果想要传递该信息可以使用代码清单11-96的方式。

代码清单11-96 摘要验证方式显示传递身份信息

p.ClientCredentials.HttpDigest.AllowedImpersonationLevel =
System.Security.Principal.TokenImpersonationLevel.Impersonation;
p.ClientCredentials.HttpDigest.ClientCredential =
new System.Net.NetworkCredential("v-samzha","domain_pwd");

如代码清单11-96，摘要验证的身份信息保存在p.ClientCredentials.HttpDigest对象中。

下面我们分析一下摘要验证的过程。

先看代码清单11-97是第发起请求的信息。

代码清单11-97 发起请求

POST http://wcfservicewebsite.com/HelloService.svc HTTP/1.1
Content-Type: text/xml; charset=utf-8
VsDebuggerCausalityData: 
uIDPo9ymOexINPFJi+3tKDrHjuIAAAAAGYVyeTYe3UqAVZgCC45FRE5qbQJALydCjORFK5/dBBoACQAA
SOAPAction: "http://tempuri.org/IHelloService/GetHello"
Host: wcfservicewebsite.com
Content-Length: 133
Expect: 100-continue
Accept-Encoding: gzip, deflate
Connection: Keep-Alive
<s:Envelope 
xmlns:s="http://schemas.xmlsoap.org/soap/envelope/"><s:Body><GetHello 
xmlns="http://tempuri.org/"/></s:Body></s:Envelope>

从代码清单11-97，我们可以看出第一次请求没有提供任何验证信息，肯定是不能通过验证的，那么服务端返回的信息是什么呢？看代码清单11-98。

代码清单11-98 第一次请求失败的服务端信息

HTTP/1.1 401 Unauthorized
Cache-Control: private
Content-Type: text/html; charset=utf-8
Server: Microsoft-IIS/7.5
WWW-Authenticate: Digest 
qop="auth",algorithm=MD5-sess,nonce="+Upgraded+v1b410f2cc9b3070af323f9066253e36c8cf176bcec933cc01c4ff7612615bd9d42b1607c3e122bcba7ca83f47d02c6f1169f78240641df79c",charset=utf-8,realm=" 
bs--yangwenhai"
X-Powered-By: ASP.NET
Date: Sun, 26 Jun 2011 06:25:13 GMT
Content-Length: 6079

服务端的返回信息中，我们关注代码清单11-98中加粗的部分，它告诉客户端验证方式为Digest，采用的摘要的算法为MD5-sess。qop表示用于服务器回应的保护等级选项，"auth"值表示鉴别；而"auth-int"值则表示采用完整性保护的鉴别。nonce字段是服务器返回的标识，每次请求都不一样，使用如下生产规则：

time-stamp H(time-stamp ":" ETag ":" private-key)

H为采用的摘要算法。

realm=" bs--yangwenhai"声明当前验证的域为bs--yangwenhai。

客户端接收到这样的反馈之后，会发送Digest验证信息给服务端，如代码清单11-99。

代码清单11-99 客户端发送Digest验证信息

POST http://wcfservicewebsite.com/HelloService.svc HTTP/1.1

Content-Type: text/xml; charset=utf-8

VsDebuggerCausalityData: uIDPo9ymOexINPFJi+3tKDrHjuIAAAAAGYVyeTYe3UqAVZgCC45FRE5qbQJALydCjORFK5/dBBoACQAA

SOAPAction: "http://tempuri.org/IHelloService/GetHello"

Accept-Encoding: gzip, deflate,gzip, deflate

Authorization: Digest username="administrator",realm="bs--yangwenhai",nonce="+Upgraded+v1b410f2cc9b3070af323f9066253e36c8cf176bcec933cc01c4ff7612615bd9d42b1607c3e122bcba7ca83f47d02c6f1169f78240641df79c",uri="http://wcfservicewebsite.com/HelloService.svc",cnonce="+Upgraded+v1462dbb5533a1c4c04d59d91a9b10460cfd38ba314128516a4b17391abdc5a273",nc=00000001,algorithm=MD5-sess,response="9aefaca8ec6d904bb0bc43f068e328e2",qop="auth",charset=utf-8,hashed-dirs="service-name,channel-binding",service-name="HTTP/wcfservicewebsite.com",channel-binding="00000000000000000000000000000000"

Host: wcfservicewebsite.com

Content-Length: 133

Expect: 100-continue

<s:Envelope xmlns:s="http://schemas.xmlsoap.org/soap/envelope/"><s:Body><GetHello xmlns="http://tempuri.org/"/></s:Body></s:Envelope>

代码清单11-99是客户端发送的验证信息，其中nonce值与服务端返回的值相同，客户端将密码经过Md5加密放在头部传回服务端。服务端接受到该请求之后，从header中提取有效的client credential,并通过LDAP服务，连接至DC,查找相应用户名与摘要信息匹配的domain user。如果找到，说明该 credential有效，则开始处理请求，否则，返回401给客户端。