security - Windows Identity Foundation WCF 服务证书

Question

我最近使用 WIF 针对 STS 设置了 WCF 服务，我试图了解所需的证书及其影响，我有一个针对 IIS 的证书，允许 HTTPS 通信，但在 STS 配置中，有两个证书的引用。例如

<appSettings>
  <add key="SigningCertificateName" value="CN=STSTestCert"/>
  <add key="EncryptingCertificateName" value="CN=DefaultApplicationCertificate"/>
</appSettings>

在 MSDN 文档( http://msdn.microsoft.com/en-us/library/ee748498.aspx )中，它指出

STS 使用默认证书对其颁发的 token 进行签名。此证书名为“STSTestCert”，它会自动添加到您的证书存储中以供 STS 使用。证书文件存在于 STS 项目中。该文件的密码是“STSTest”。这不应该用于生产练习。您可以用任何其他证书替换默认证书

我的问题是签名证书和加密证书的用途是什么，哪些证书适合面向公众的服务？我需要3个不同的吗？

Answer 1

围绕 WIF 构建的声明是通过 token 传递的。

每个 token 都经过签名以证明它来自预期的 STS。

AFAIK，没有办法删除 token 的签名组件(这是有道理的，否则任何第三方都可以生成它们并“假装”它们来自 STS)。

这些 token 也可以加密。如果您通过 https 运行，整个消息将使用 IIS 证书加密， token 本身将使用 WIF 加密证书再次加密。 token 加密是可选的。当您使用 FedUtil 时，问题之一是“您想要 token 加密吗？”。如果您说“否”，则它未加密。如果你说"is"，它会被加密，然后你会被要求提供证书。

如果需要，您可以使用相同的证书进行 token 加密和签名。从安全的角度来看，使用两个是有意义的。

所以“最安全”的解决方案将使用三个证书。

您以正常方式从受信任的颁发者那里获得证书。