WCF 安全 : Difference between TransportWithMessageCredential and Message Security Mode

Question

我想知道TransportWithMessageCredential之间的区别VS Message在 WCF 安全方面。

我所知道的是:

运输安全:用于提供两个端点之间的点对点安全。

消息安全:它提供端到端的安全性。由于消息安全性直接对消息进行加密和签名，因此有中介并不会破坏安全性。

如果我们使用 TransportWithMessageCredential模式，SOAP 消息(Header 和 Body)是否加密？

我担心的是我希望在 WCF 服务器和我的 WinForms 客户端之间加密应用程序数据。

Answer 1

If we use TransportWithMessageCredentials mode , Is SOAP message( Header and Body) encrypted?

是的，因为有了 TransportWithMessageCredential安全模式它是传输安全，它为通过线路传输的消息提供 secret 性和完整性保护。在这种情况下，传输安全还提供服务身份验证。例如，对于 HTTP，安全套接字层 (SSL) 用于对通过安全 HTTP (HTTPS) 发送的数据包的内容进行加密和签名。

与 TransportWithMessageCredential在安全模式下，客户端身份验证是通过 SOAP 消息安全性提供的，其中客户端凭据直接放在消息中。

当 SOAP 消息离开服务的客户端时，它被加密。但是，与传输安全性一样，它在两个端点(服务和客户端)之间提供点对点( 不是 端到端)安全性。因此，如果客户端和服务之间存在中间系统，则每个中间点都必须通过新的安全连接转发消息。

每条评论更新

you said "When the SOAP message leaves the client for the service it is encrypted' Then it should be end -end security. why it is only point -to-point.

传输安全是点对点的，因为消息在离开一个端点时会被加密，并一直保持到它到达安全传输的另一个端点，然后在那里解密消息。在客户端和服务器直接相互通信的部署中，这提供了全程加密。但是，如果您的服务端点要将消息转发给预期的收件人，则从那时起不再保证您的消息会被加密。

消息安全直接对消息进行加密和签名，以便只有预期的接收者才能解密和读取消息的实际内容。因此，安全性在发送方和接收方之间得到保证，而不仅仅是在端点之间。因此，消息安全提供了端到端的安全性。

Can i conclude TransportWithMessageCredential provide security point -to-point and message Level security provide End-to-End Security. then Why WCF security Guide is suggesting to use TransportWithMessageCredential with UserName When we are using WCF with Windows form client in internet.

对，那是正确的。 TransportWithMessageCredential security 提供点对点和 Message security 提供端到端的安全性。 WCF 安全指南建议将客户端凭据设置为 UserName因为这将用于验证客户端。在 UserName在这种情况下，我们将用户名和密码对直接放入 SOAP 消息中。除非客户端提供某种凭证，例如 UserName或 Certificate要对服务进行身份验证，您将拥有一个匿名客户端。匿名客户端意味着任何人都可以访问您的服务，因为客户端未经过身份验证。

If message body is not encrypted with TransportWithMessageCredential then why Microsoft says TransportWithMessageCredential is a combination of both Transport and Message security

与我的原始答案一样:SOAP 消息由传输层(例如 HTTPS)加密和签名。 TransportWithMessageCredential是传输和消息安全的组合，因为传输安全对消息进行加密和签名以及向客户端验证服务，而消息安全用于向服务验证客户端。