从 soapUI 到 WCF 的 WS-Security - 绑定和配置答案

【问题标题】：WS-Security from soapUI to WCF - binding & configuration从 soapUI 到 WCF 的 WS-Security - 绑定和配置
【发布时间】：2015-09-21 20:04:05
【问题描述】：

我需要创建一个 WCF 客户端来调用我无法控制的服务，并且我们只获得了一个 wsdl（带有模式）。 Web 服务使用具有 WS-Security 规范版本 1.0 的 X.509 证书

Web 服务提供者共享了soap 消息的原始xml 以突出显示ws-security 标头。使用soapUI，我已经能够创建完全相同的wsse-Security 标头，如下所示：

<soapenv:Envelope xmlns:oas="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd" xmlns:oas1="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd" xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:xd="http://www.w3.org/2000/09/xmldsig#">
  <soapenv:Header>
    <wsse:Security xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd">
      <ds:Signature Id="SIG-32" xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <ds:SignedInfo>
          <ds:CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315#WithComments"/>
          <ds:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
          <ds:Reference URI="#id-31">
            <ds:Transforms>
              <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#">
                <InclusiveNamespaces PrefixList="oas oas1 urn urn1 urn2 urn3 xd" xmlns="http://www.w3.org/2001/10/xml-exc-c14n#"/>
              </ds:Transform>
            </ds:Transforms>
            <ds:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
            <ds:DigestValue>ucSFZEOTHpe/IOlPVWtU+1xT4sM=</ds:DigestValue>
          </ds:Reference>
        </ds:SignedInfo>
        <ds:SignatureValue>
          d4CKqie==
        </ds:SignatureValue>
        <ds:KeyInfo Id="KI-9A8D1F611E86CFB79E144316684667546">
          <wsse:SecurityTokenReference oas:Id="STR-9A8D1F611E86CFB79E144316684667547">
            <wsse:KeyIdentifier EncodingType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#Base64Binary"
                                ValueType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-x509-token-profile-1.0#X509v3">5lAB5TaqeFwo23mRVm31LngBT1dQMf94mxeVkyKog==
            </wsse:KeyIdentifier>
          </wsse:SecurityTokenReference>
        </ds:KeyInfo>
      </ds:Signature>

      <oas:Timestamp oas:Id="TS-30">
        <oas:Created>2015-09-25T07:40:46.670Z</oas:Created>
        <oas:Expires>2015-09-26T11:27:26.670Z</oas:Expires>
      </oas:Timestamp>
    </wsse:Security>
  </soapenv:Header>

  <soapenv:Body oas:Id="id-31">
    ...
  </soapenv:Body>
</soapenv:Envelope>

在soapUI 中，在“WS-Security 配置”下，我添加了密钥库（带有我的私有证书的jks）和信任库（带有CA 根公钥的jks）。最后，我使用以下设置添加了“Outgoing WS-Security Configurations”。

使用此 WS-Security 设置，soap 消息会添加wsse:Security，如上所示。

现在，我们正在使用 WCF 在 .NET 上构建 WS 客户端，并且需要有关绑定和安全设置的帮助。可以使用哪些绑定和配置设置来获得所需或上面显示的相同 WS-Security 标头？

从 WSDL，我使用 WSCF.blue 创建了一个客户端代理。虽然，我也可以使用 svcutil.exe 或使用 VS 中的添加服务引用。

我已尝试在以下代码中创建 customBinding，但是在检查此消息时，wsse 标头与我想要的不同。

例如，它在Security 标头中添加了一个不需要的BinarySecurityToken。

或者KeyIdentifier 是X509SubjectKeyIdentifier 而不是X509v3，例如： <o:KeyIdentifier ValueType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-x509-token-profile-1.0#X509SubjectKeyIdentifier" ...</o:KeyIdentifier>

它还在SignedInfo下添加了额外的多个Reference，即使它通过了架构验证，我也不确定额外的Reference在做什么。

internal static Binding GetCustomBinding()
{
    CustomBinding myBinding = new CustomBinding();

    AsymmetricSecurityBindingElement asBindingElement = new AsymmetricSecurityBindingElement();

    //Have tried these also
    //asBindingElement.MessageSecurityVersion = MessageSecurityVersion.WSSecurity11WSTrust13WSSecureConversation13WSSecurityPolicy12;
    //asBindingElement.MessageSecurityVersion = MessageSecurityVersion.WSSecurity10WSTrustFebruary2005WSSecureConversationFebruary2005WSSecurityPolicy11BasicSecurityProfile10;
    //WSSecurity10WSTrustFebruary2005WSSecureConversationFebruary2005WSSecurityPolicy11BasicSecurityProfile10

    asBindingElement.MessageSecurityVersion = MessageSecurityVersion.WSSecurity10WSTrust13WSSecureConversation13WSSecurityPolicy12BasicSecurityProfile10;
    asBindingElement.InitiatorTokenParameters = new System.ServiceModel.Security.Tokens.X509SecurityTokenParameters { InclusionMode = SecurityTokenInclusionMode.Never };

    asBindingElement.RecipientTokenParameters = new System.ServiceModel.Security.Tokens.X509SecurityTokenParameters 
    { 
        //X509ReferenceStyle = X509KeyIdentifierClauseType.SubjectKeyIdentifier,
        InclusionMode = SecurityTokenInclusionMode.Never
    };


    asBindingElement.MessageProtectionOrder = System.ServiceModel.Security.MessageProtectionOrder.SignBeforeEncrypt;
    //asBindingElement.SecurityHeaderLayout = SecurityHeaderLayout.Strict;
    asBindingElement.SecurityHeaderLayout = SecurityHeaderLayout.LaxTimestampLast;
    asBindingElement.EnableUnsecuredResponse = true;
    asBindingElement.IncludeTimestamp = true;
    asBindingElement.SetKeyDerivation(false);
    asBindingElement.DefaultAlgorithmSuite = System.ServiceModel.Security.SecurityAlgorithmSuite.Basic128Rsa15;

    asBindingElement.EndpointSupportingTokenParameters.Signed.Add(new X509SecurityTokenParameters());

    myBinding.Elements.Add(asBindingElement);

    myBinding.Elements.Add(new TextMessageEncodingBindingElement(MessageVersion.Soap11, Encoding.UTF8));
    //myBinding.Elements.Add(new MtomMessageEncodingBindingElement(MessageVersion.Soap11, Encoding.UTF8));

    HttpsTransportBindingElement httpsBindingElement = new HttpsTransportBindingElement();
    httpsBindingElement.RequireClientCertificate = true;
    myBinding.Elements.Add(httpsBindingElement);

    return myBinding;
}

另外，我将这种行为用于 x509 证书

<behaviors>
  <endpointBehaviors>
    <behavior name="MyBehavior">
      <clientCredentials>
        <clientCertificate findValue="xxx"
          storeLocation="LocalMachine" storeName="My" x509FindType="FindByThumbprint" />
        <serviceCertificate>
          <defaultCertificate findValue="xxx"
            storeLocation="LocalMachine" storeName="My" x509FindType="FindByThumbprint" />
          <authentication certificateValidationMode="None" revocationMode="NoCheck"
            trustedStoreLocation="LocalMachine" />
        </serviceCertificate>
      </clientCredentials>
    </behavior>
  </endpointBehaviors>
</behaviors>

【问题讨论】：

我正在使用ClientMessageInspector，我所做的只是删除这些请求标头：ActivityId 和 VsDebuggerCausalityData，因为我相信如果这些标头，Web 服务提供商可能会拒绝该消息存在。我假设这些标头是由 .net 或 vs 用于调试或日志记录等添加的。

标签： wcf soap soapui ws-security

【解决方案1】：

如果您想发送 exact 相同的消息，那么您可能应该使用 SignedXml 类在 WCF 之外生成签名。使用 WCF，您将无法获得准确的规范化算法/InclusiveNamespace。

话虽如此，大多数情况下生成类似的消息对服务器来说都很好。您有两种可能的方法。一种是create a customMessageEncoder，它将在传出的 WCF 消息到达网络之前对其进行更改。因此，您可以告诉 WCF 创建一个极简消息（例如，没有时间戳）并在编码器中自己添加时间戳（如果 wcf 会创建它，那么它也会对其进行签名）并删除/更改 x.509 令牌引用。在执行包含空格的 do (body, signedInfo) 时，应注意不要更改任何已签名的 xml 节点（因此，如果加载到 XmlDocument，请使用 preserveWhitepsaces）。

另一种方法是尝试配置 WCF 以发送相同的消息：

要排除额外的令牌引用，请创建 x.509 参数 like this:

        X509SecurityTokenParameters x509Params = new X509SecurityTokenParameters();
        x509Params.X509ReferenceStyle =
            X509KeyIdentifierClauseType.SubjectKeyIdentifier;
        x509Params.RequireDerivedKeys = false;
        ;
        x509Params.InclusionMode = SecurityTokenInclusionMode.Never;
        x509Params.ReferenceStyle = SecurityTokenReferenceStyle.Internal;
        x509Params.X509ReferenceStyle = X509KeyIdentifierClauseType.Any;
        ((AsymmetricSecurityBindingElement) sec).InitiatorTokenParameters = x509Params;

timestamp 将由 wcf 签名，但可能服务器不关心，或者不需要时间戳，所以试试requireTimestamp=true/false 看看有什么用。您可以使用MessagePartSpecification 以编程方式禁用signing for timestamps。

在这两种方法中，重要的是要了解服务器可能比您想象的更灵活，并从其错误消息中了解真正的阻碍因素。

【讨论】：