如何安全地将数据传输到公共Web服务或从公共Web服务传输数据

Question

我正在处理与在远程盒子上运行的现有应用程序的接口。与远程应用程序的通信通过其公共Web服务。我被要求构建一个增强功能，这将涉及一个客户端使用Web服务来处理需要安全传输的敏感数据。

任何人都可以给我一些关于如何最好地继续下去的指针吗？

Answer 1

首先，您应该使用SSL并拒绝任何不使用它的请求。这将在数​​据通过互联网传输时加密数据。

如果您使用的是SOAP，则可以在服务中定义一个自定义标头，该标头需要用户名/密码。然后，对于每个公共方法的第一行，根据数据库验证用户名和密码。如果成功，请适当设置HttpContext.Current.User，并且您的服务将与内置的Asp.NET基础结构很好地配合。

添加：下面是SoapHeader示例，其中包含用于验证的用户名/密码。

// define the header 
public class AuthenticationHeader : SoapHeader 
{ 
    public String UserName { get; set; } 
    public String Password { get; set; } 
} 

// your service 
public class PublicWebService : WebService 
{ 
    // defines an instance of the header as part of the service 
    public AuthenticationHeader Authentication; 

    private void Authenticate() 
    { 
     // validate the username/password against a database 
     // set the HttpContext.Current.User if successful. 
     // Maybe throw a SoapException() if authentication fails 
    } 

    // Notice the SoapHeader("Authentication") attribute... 
    // This tells ASP.Net to look for the incoming header for this method... 
    [WebMethod] 
    [SoapHeader("Authentication")] 
    public void PublicMethod1() 
    { 
     Authenticate(); 

     // your code goes here 
    } 

    // Expose another method with the same authentication mechanism 
    [WebMethod] 
    [SoapHeader("Authentication")] 
    public void PublicMethod2() 
    { 
     Authenticate(); 

     // your code goes here 
    } 
} 

现在，如果你运行WSDL工具，生成的代理类将包括定义的认证头：

PublicWebService s = new PublicWebService(); 
s.Authentication = new AuthenticationHeader(); 
s.Authentication.UserName = "xxxxxxxx"; 
s.Authentication.Password = "yyyyyyyy"; 
s.PublicMethod1(); 
s.PublicMethod2(); 

Answer 2

DIY路线：

1. 安全读了（在移动到技术性前开始“Secrets and Lies”等这样的一般图书）

2. 进行风险分析和评估线程。了解你正在保护什么，从什么以及威胁将来自哪里。您不太可能需要“高安全性”。

3. 使用TLS（又名SSL）。

4. 在客户端中，验证服务器的证书是否正确。

更好的路线：雇用谁拥有的声誉，以帮助您的专家。

---

除非你真的正在建设一个核武器工厂或相似。