c# - 如何使用证书保护 3 跳 WCF 门面服务？

Question

我最近开发了一个 WCF Facade 服务。我是 WCF 的新手，无法理解安全实现部分。

服务如下:

• 一个 asp.net 公共(public)网站有一个 WCF 客户端，它访问:
• DMZ 中的 WCF Facade 服务，它又作为客户端访问:
• 内部网络 WCF 服务

目前所有服务都在使用 WSHttpBinding。

我想在所有 3 个服务器之间使用 X.509 证书进行客户端/服务器身份验证(即公共(public)客户端应用程序和外观服务使用证书相互验证，外观客户端和内部服务使用证书相互验证)。

有人可以逐步解释在生产环境中需要做什么来保护它吗？我引用的每篇文章和书籍都解释了 makecert.exe 的使用，但没有解释使用来自真实 CA 的生产证书。我知道这可能很简单，但我似乎无法理解所需的概念。

我有一个来自受信任的 CA 的 SSL 证书，用于用户访问公共(public)网站和一个 SAN SSL 证书，它可以通过主题备用名称应用于最多 4 个域名。如果我需要使用 makecert.exe 等来创建客户端证书等，我仍然对身份验证感到困惑。

理想情况下，所有服务/客户端配置都在 app/web.config 中(无代码)。我对所有三台服务器(公共(public) Web 服务器、Facade/dmz 服务器、内部 Web 服务器)具有完全管理权限。

非常感谢任何见解或指导!

根据评论进行编辑以提供更多详细信息:

• 所有服务器的 IIS 6
• 面向公众的网站不需要用户身份验证。本质上，公共(public)访问者正在以表格形式输入信息，这些信息由服务处理和处理。无需身份验证。
• 付费 EV SSL 证书将用于保护公共(public)访问者与网站之间的交互。

我感兴趣的是如何在不同的 WCF 客户端/服务之间实现相互证书身份验证/标识。所以:

• 公共(public)服务器上的 WCF 客户端和 Facade/DMZ 服务器上的 WCF 服务使用证书相互识别和验证
• Facade/DMZ 服务器上的 WCF 客户端和内部服务器上的 WCF 服务随后也使用证书相互识别和验证。

我有一个来自受信任的 CA (DigiCert) 的灵活 SAN 证书，如果可能，我想使用它进行身份验证。它可以通过主题备用名称支持最多 4 个 DNS 条目。

感谢您提供的任何帮助!

Answer 1

经过大量调查和反复试验，我想我已经全神贯注地解决了这个问题并找到了解决方案。

因为我使用的是简化的 SSL 解决方案(具有多个名称的 SAN 证书以保护内部 Web 服务器和 DMZ 服务器)，所以我能够将相同的证书导入本地机器\个人和本地机器\受信任的人存储在这些服务器上，并进入公共(public)服务器的可信人员存储。

从那里开始，在配置中我选择混合使用传输和消息安全 (TransportWithMessageCredential) 以通过证书强制执行 HTTPS 和消息级加密。

生成的服务行为配置:

<serviceBehaviors>
  <behavior name="MyCustomBehavior">
    ...
    <serviceCredentials>
    <serviceCertificate findValue="MySANCertName"
                        x509FindType="FindBySubjectName"
                        storeLocation="LocalMachine"
                        storeName="My" />            
    </serviceCredentials>
    ...
  </behavior>
</serviceBehaviors>

和绑定(bind):

<wsHttpBinding>
  <binding name="MyWsBinding">
    <security mode="TransportWithMessageCredential">
      <message clientCredentialType="Certificate"/>
    </security>
  </binding>
</wsHttpBinding>

我用过的另一件事可能对那些在证书身份验证方面遇到麻烦的人有用，那就是打开审核:

<serviceBehaviors>
  <serviceSecurityAudit 
    auditLogLocation="Application"
    messageAuthenticationAuditLevel="SuccessOrFailure"
    serviceAuthorizationAuditLevel="SuccessOrFailure" 
    suppressAuditFailure="false" />
  </behavior>
</serviceBehaviors>

以下引用资料对实现我的解决方案最有帮助:

http://notgartner.wordpress.com/2007/09/06/using-certificate-based-authentication-and-protection-with-windows-communication-foundation-wcf/ http://www.codeproject.com/KB/WCF/wcf_certificates.aspx?display=Print Essential Windows Communication Foundation For .NET Framework 3.5