用于加密的 WCF 绑定(bind)安全性

Question

这是我很困惑的 WCF 绑定(bind)和安全问题:

You are hosting a Windows Communication Foundation (WCF) service at http://www.contoso.com for a law enforcement agency. The agency adds operations to support sending biometric fingerprint data via non-buffered streaming. The service data is routed between intermediaries. The WCF binding you are using by default does not support encryption. You need to ensure that the fingerprint data is not disclosed when passed over the network. What should you do?

• A. Use basicHttpBinding with message security to https:// www.contoso.com
• B. Use basicHttpBinding with transport security to https:// www.contoso.com
• C. Use wsHttpBinding with message security to https:// www.contoso.com
• D. Use wsHttpBinding with transport security to http:// www.contoso.com

答案是 B。但我认为这里说的是“服务数据在中介之间路由”，因此消息安全性应该优于传输安全性。好吧，它确实说“您默认使用的 WCF 绑定(bind)不支持加密”，但是这里的选项确实提供使用 wsHttpBinding，所以我认为 A 和 C 都可以。谁能告诉我哪里错了？

Answer 1

题中这句话是重点:

The WCF binding you are using by default does not support encryption

所以这意味着问题暗示您正在使用 basicHttpBinding，因为 wsHttpBinding 默认启用 WS*-Security。您实际上可以通过 Fiddler 检查调用。默认情况下，使用安全 token 对消息进行签名和加密 - 有关详细信息 - 此 explains缓存在服务上的 SPNEGO token 。

由于我之前突出显示的句子，因此消除了 C、D。

剩下 A 和 B。我不同意 B 作为 MSDN 本身 states 传输安全性仅通过点对点通信来保护消息。如果消息在到达最终接收者之前被路由到一个或多个 SOAP 中介，则一旦中介从网络中读取消息，消息本身就不 protected 。

问题也很明确的说:

The service data is routed between intermediaries

因此，我认为正确答案是A，一些 WCF SO 专家可能会纠正我。