.net - 如何保护 .Net 2.0 客户端到 3.5 独立 WCF web 服务的传输？

Question

我们销售的销售点系统通常需要一个后台商店服务器和多个终端。

我们正在开发一种新产品，需要终端通过网络服务与后台机器进行通信。后台通过 WCF 实现为独立的 Windows 服务。终端软件是一个 c++ 应用程序，它通过非托管/托管桥调用我们的 .Net DLL。

我们遇到的真正问题是，由于终端的资源限制，我们不能超过 .Net 2.0(因此不能使用 WCF)。就让两者通过 BasicHttpBinding 相互交谈而言，这不是问题。然而，添加加密一直是一个令人头疼的问题。

我已经能够让一个基本的自签名证书正常工作(因为服务器交给了客户，所以 CA 是不可能的。)问题是我必须完成的步骤对我们来说不切实际可交付产品。

好的，长序言 - 底线...... WCF 独立 Web 服务，.Net 2 客户端，在 Intranet 上运行，只需要传输加密。我们需要能够使完整的安装自动化。此外，我们并未与 SSL 结合，但考虑到我们的限制，它似乎是唯一可行的解​​决方案。如有任何帮助或建议，我们将不胜感激。

Answer 1

这是我前段时间问过的一个类似问题:

How to configure security when calling WCF Service from .Net 2.0 Client

我最终做的是以下效果很好的 - 使用 BasicHttpBinding:

1. 使用 SSL 保护传输
2. 客户端首先通过调用 Web 服务上的登录方法登录到 Web 服务。如果登录成功，它返回一个加密的FormsAuthenticationTicket给客户端。
3. 然后，客户端必须在每次网络服务调用时提供表单例份验证票证。每种方法都检查票证是否有效，如果有效，它就开始工作。如果票已过期或无效，客户必须重新进行身份验证。

这不会让您远离 SSL，但可能会让您更接近您的需求。一种选择可能是手动加密您发送到商店服务器后端的数据/对象以避免 SSL。