如何安全地将用户凭据从服务器传递到客户端？答案

【问题标题】：How do I securly pass user credentials from a server to a client?如何安全地将用户凭据从服务器传递到客户端？
【发布时间】：2008-11-25 16:41:40
【问题描述】：

我的目标是使用管理员凭据（具有安装权限的用户）启动安装，为此我需要从 Web 服务传递这些用户凭据。所以问题是我可以传递这些数据的最安全的方式是什么。请记住，最终客户端的用户未以管理员身份登录，但我假设在传输期间可以访问数据（即我不能仅依靠通道安全性。）

Myclient 代码将是一个 vb 或 C# 应用程序与 asp.net 网络服务通信。

【问题讨论】：

【解决方案1】：

加密将在从 WebService 传输到应用程序内存期间保护管理员凭据，正如 gedevan 所指出的那样。

您的意思是您还想保护它们免受启动应用程序的用户的影响吗？请记住，他是您的流程的所有者，因此通过正确的工具和大量的决心，他应该能够从流程内存中提取凭据。

【讨论】：

您有权在某些时候解密这些数据并将其移至安全字符串。让它直接流入来自 web 服务代理的安全字符串会很好。
对不起，我不太明白你所说的“安全字符串”是什么意思。 Windows CryptoProvider 存储？我想说的是，从操作系统的角度来看，应用程序没有比拥有用户更多的权利。这意味着应用程序无法访问但用户无法访问的位置。

【解决方案2】：

在大多数情况下，将消息体加密 (WS-Encryption) 与 HTTPS 结合使用是非常安全的。

【讨论】：