Cómo restringir el acceso a un servicio WCF con una clave compartida

Question

Tengo algunos servicios que consumen los clientes dentro de una zona segura. Me han pedido que proteja estos servicios normalmente contra clientes de desarrollo que se conectan erróneamente al servicio incorrecto.

La idea era la clave precompartida (como un guid) que se establece en la configuración tanto para el cliente como para el host del servicio. Cuando el cliente intente consumir el servicio, debe presentar la clave correcta.

¿Qué debo hacer para configurar un servicio para implementar este tipo de seguridad? ¿Cuánta personalización es necesaria?

Answer 1

Si lo hace utilizando la clave, cambiaría el contrato del servicio para incluir un campo donde se colocaría la clave. Luego, verifique el valor en la clave en el lado del servidor.

Sin embargo, en su caso podría restringir qué direcciones IP se les permitió acceder al servicio, a través de la configuración de red. Esto sería menos trabajo que cambiar la firma de sus servicios.

Answer 2

Me gustaría que el cliente envíe la clave como un encabezado de mensaje adicional y cree un IDispatchMessageInspector para comprobar el encabezado y, opcionalmente, rechazarlo. This El artículo del Código de proyecto describe la parte del filtro en función de la dirección IP.

Answer 3

Puede agregar fácilmente un encabezado de mensaje personalizado a cada llamada; es bastante fácil de hacer, de hecho, y no "contamina" su contrato de servicio real, p. no tiene que agregar parámetros adicionales a sus llamadas de servicio solo para pasar esto.

Consulte estos artículos para obtener información sobre cómo lograr esto:

• WCF Custom Message Headers
• HOw do I add a custom header to every WCF message?
• WCF Messaging fundamentals

Básicamente, es necesario envolver su llamada al servicio en un OperationContext - eso es todo, no se necesita ClientMessageInspector ni ningún otro truco :-)

using (OperationContextScope scope = new OperationContextScope(proxy)) 
{ 
    Guid myToken = Guid.NewGuid(); 

    MessageHeader<Guid> mhg = new MessageHeader<Guid>(myToken); 
    MessageHeader untyped = mhg.GetUntypedHeader("token", "ns"); 

    OperationContext.Current.OutgoingMessageHeaders.Add(untyped); 

    proxy.DoOperation(...); 
    } 

y en el lado del servidor, sólo tiene que inspeccionar la colección IncomingMessageHeaders:

Guid myToken = OperationContext.Current. 
       IncomingMessageHeaders.GetHeader<Guid>("token", "ns"); 

Marc