c# - 安全地将敏感信息发送到 RESTful 服务

Question

因此，我进行了搜索并尝试将找到的各种信息拼凑在一起，如果这些信息确实存在于其他地方，我深表歉意。作为一名安全专业人士，我想确保我正确执行此操作，以免引入一些疯狂的安全缺陷。

我正在用 C# 开发一个 RESTful 服务，该服务将托管在 Azure 上，允许用户使用用户名和密码登录，然后对该服务的后续调用将与该用户关联。该服务的第一个客户端将是一个 Web 应用程序，它通过 javascript 与该服务进行通信(不确定这是否会有所不同)。

这就是我想出的工作流程:

• 用户登陆网站
• 用户输入用户名和密码
• 信息已发送至服务
  • 这是我掌握的细节最少的地方
• 服务验证用户凭据
• 服务返回一个 token 以供后续服务调用使用

我读过有关 SSL 的内容，并且知道 Azure 支持 SSL 证书，但我不能 100% 确定这就是我正在寻找的一切。只需拥有 SSL 证书并使用 HTTPS，就可以将纯文本用户信息发送到我的服务吗？这听起来不对。如果不是，我还需要做什么才能安全地将这些(以及可能的其他)敏感信息发送到我的服务？

预先感谢您的帮助。

Answer 1

如果您的应用程序通过 JavaScript 与 Azure 上托管的服务进行通信，您需要查看 ADAL.js 。 Vittorio Bertocci 在 this article 中准确描述了如何保护此类应用程序的安全。 .

使用 SSL/TLS 时，传输 channel 是加密的，因此拦截数据包的任何人都无法读取明文。显然，您仍然需要保护您的应用程序免受其他可能导致信息泄露的攻击(例如 SQL 注入(inject)等)。看OWASP top 10 cheat sheet了解更多信息。