web-services - 如何在公司内围绕 Web 服务实现安全性

Question

最近出现了一个关于 Web 服务安全的话题。不一定是您可能想到的 WSE 3.0 中的部分，而是更多关于保护公司内部服务的内容。

例如。我们一直在讨论通过一个或多个 Web 服务端点为整个公司提供某些功能的可能性。问题归结为谁可以访问 Web 服务。我看到它们以三种不同的方式被访问:

通过一个网站。本网站可能会或可能不会冒充访问该网站的用户，因此可能会以真实用户、IIS 服务帐户或我们可能出于其他原因冒充的其他服务帐户来调用 Web 服务

通过批处理程序。也在服务器上运行，但通常作为服务帐户运行

通过用户桌面上的 Windows 应用程序，在这种情况下，将使用用户的凭据

现在，理论上我们 可以让网络服务对任何人开放。无知是幸福的，对吧？但问题是，如果攻击者获得了我们网络的访问权并发现了 Web 服务，他就可以全权委托(delegate)知识产权。所以开放是不好的。

我们可以使用一些精心设计的自制方案来检查 IP 地址、用户名等来锁定它们。但这似乎是一场管理噩梦。

有什么想法吗？我们正在折腾几个想法，但我想看看是否有人已经解决了这类问题。

谢谢

Answer 1

在我的公司，我们使用带有加密签名的 X509 证书。这为您的服务提供了最大的安全性。要限制对您的服务的访问，您可以只允许您的客户的公共(public)证书。这当然意味着您的客户也必须拥有自己的证书。如果您的客户没有自己的证书，您可以使用 OpenSSL 创建自己的证书。我自己使用过这个应用程序并创建了可用于加密或握手目的的合法证书。另外，我相信您可以为每个客户创建自定义策略，并通过在每个功能上使用策略属性来限制对服务功能的访问(可能是在撒谎，但我想我在某个地方偶然发现了这一点)。希望这可以帮助。