使用证书以编程方式实现 WCF

Question

我对 WCF 很陌生，并试图了解安全性。我仍在阅读和学习，但我得到了带有证书身份验证的 WCF 工作版本。我知道代码有一些弱点；但是，我最初的目标是使用证书身份验证创建通信。此外，我想以编程方式创建所有内容（没有服务或客户端的 Web.config 配置）。这样做的原因是客户端应该能够链接一个程序集（类库）并访问服务器。另外，我正在从文件系统加载证书（再次，我知道这不安全）。我想得到一点反馈。

以下客户端 sn-p 正在创建一个我可以用来连接到服务器的对象。匿名类型 T 是我的服务接口，例如服务。

这是我的客户端实现：

var url = "URL TO WS";
var binding = new WSHttpBinding
{
    Security =
    {
        Mode = SecurityMode.Message,
        Message = {ClientCredentialType = MessageCredentialType.Certificate}
    }
};

var endpoint = new EndpointAddress(url);
var channelFactory = new ChannelFactory<T>(binding, endpoint);

if (channelFactory.Credentials != null)
{
    channelFactory.Credentials.ClientCertificate.Certificate =
        new X509Certificate2(@"PATH\TO\Client.pfx"); // Client Certificate PRIVATE & PUBLIC Key
    channelFactory.Credentials.ServiceCertificate.Authentication.CertificateValidationMode = X509CertificateValidationMode.None; // I know this is not good, but I dont have a valid certificate from a trusted entity
}

wcfClient = channelFactory.CreateChannel();
return wcfClient;

服务有点复杂。我使用带有代码隐藏的 .svc 文件。如果我正确理解 .svc 文件的使用，那么我相信这是 .NET 框架创建 ServiceHost 并自动打开它的入口点？在我的实现中，我没有打开 ServiceHost，我只实现了一个 ServiceHostFactoryBase 并以 .svc 标记语言对其进行了引用。查看工厂部分 - 这是我实现自定义主机工厂的部分。

<%@ ServiceHost Language="C#" Debug="true"
    Service="Service.Services.LevelService" CodeBehind="LevelService.svc.cs" 
    Factory="Service.Security.ServiceHostFactory.HostFactory" %>

我的自定义主机工厂如下所示：

public class HostFactory : ServiceHostFactoryBase
{
    public override ServiceHostBase CreateServiceHost(string constructorString, Uri[] baseAddresses)
    {
        var serviceType = Type.GetType(constructorString);

        if (serviceType.GetInterfaces().Count() != 1)
            throw new NotImplementedException("The service can only have one implemented interface");

        var interfaceType = serviceType.GetInterfaces()[0];

        var myServiceHost = new ServiceHost(serviceType, baseAddresses);

        var httpBinding = new WSHttpBinding();
        httpBinding.Security.Message.ClientCredentialType = MessageCredentialType.Certificate;
        httpBinding.Security.Mode = SecurityMode.Message;

        myServiceHost.Credentials.ServiceCertificate.Certificate = new X509Certificate2(@"PATH\TO\Server.pfx");
        myServiceHost.Credentials.ClientCertificate.Authentication.CertificateValidationMode = X509CertificateValidationMode.Custom;
        myServiceHost.Credentials.ClientCertificate.Authentication.CustomCertificateValidator = new MyX509CertificateValidator();
        myServiceHost.Credentials.ClientCertificate.Certificate = new X509Certificate2(@"PATH\TO\Client.cer");
        myServiceHost.AddServiceEndpoint(interfaceType, httpBinding, String.Empty);

        return myServiceHost;
    }
}

自定义验证器还没有做太多，但这里也有：

public class MyX509CertificateValidator : X509CertificateValidator
{
    public override void Validate(X509Certificate2 certificate)
    {
        // Check that there is a certificate.
        if (certificate == null)
        {
            throw new ArgumentNullException("certificate");
        }

        // Check that the certificate issuer matches the configured issuer.
        //throw new SecurityTokenValidationException("Certificate was not issued by a trusted issuer");
    }
}

如果我理解正确，服务器只注册了客户端的公钥，因为我只引用了 .cer 文件。

我现在最大的问题是，如果我想在生产服务器上获得类似的东西 - 并假设没有人会真正获得可执行文件（包括证书），这是否是阻止不受欢迎的人进入的可能解决方案我的网络服务？基本上，我不希望任何其他人使用我的网络服务 - 只有当您拥有适当的证书时。另外，我在客户端设置的部分有多大问题：

CertificateValidationMode = X509CertificateValidationMode.None

我知道有很多问题 - 但总的来说，我想知道我在此实现中是否犯了一些基本错误。

Answer 1

好的，

在阅读了大量教程和演示应用程序后，我发现最好的方法实际上是在 Windows 上使用证书存储。但是，我仍然可以考虑一种混合解决方案，其中服务器在证书存储中拥有证书，而客户端将其嵌入资源中。如果您在 WCF 和证书方面遇到困难，请查看这些链接：

IIS7 Permissions Overview - ApplicationPoolIdentity

我能够创建传输以及消息安全的 WCF Web 服务。我建议阅读链接的文章，因为有很多信息可以让您了解证书及其用法。特别是在处理自签名证书时！

我最终使用消息安全模式 + 客户端证书和 ChainTrust 实现了 wsHttpBinding。

希望这对其他人有帮助！