仅允许数字签名的应用程序访问wcf服务

Question

我一直在网上搜索如何以及是否可以验证呼叫应用程序是否使用正确的证书进行了数字签名。

这是供我公司内部使用的。我们希望对我们的应用程序进行数字签名，并且只允许我们的数字签名应用程序访问我们的wcf服务。这是iis的配置还是在wcf应用程序中？如何？

感谢 马里奥斯

Answer 1

你不能做你想要默认情况下，WCF是什么;它只是不通过汇编信息作为其任何安全协商的一部分。

您可以通过让程序反映其程序集并使用AssemblyName的PublicKeyToken并将其作为请求的一部分传递给服务来伪装它，但我不推荐它;您将很容易受到重播攻击。任何有Reflector的人都可以想出如何随时使用你的服务。

最终，您最好将某种凭证系统构建到您的服务中，并强制用户在使用您的服务时提供这些凭据。