.net - 在 WCF 中使用消息级别安全性时是否需要传输级别安全性？

Question

我仍在尝试更好地了解 WCF 安全性。

我似乎无法理解的一个问题是……如果使用消息级别的安全性，则可以对整个消息进行签名/加密。如果是这种情况，同时使用消息级安全性和传输级安全性是否有意义？换句话说，如果消息本身是安全的，为什么我需要使用 HTTPS 之类的东西来保证传输安全？

谢谢。

Answer 1

HTTPS(SSL、TLS)提供点对点安全。我已经在我的一篇 previous answers 中解释了它的含义。 .

WCF 中的术语安全性有 4 个组件:

认证 - 凭据传递给服务器以识别客户端

授权 - 选择性地定义哪些操作可以由经过身份验证的客户端执行

保密 - 加密 - 只有预期的接收者能够解密消息并读取 secret 数据

诚信 - 签名 - 预期接收者可以验证消息来自已声明的客户端，并且在传输过程中未修改

授权始终是 WCF 应用程序本身的一部分。身份验证是 WCF 应用程序或托管系统的一部分 - 传输协议(protocol)只能用于传输凭据，而不是验证它们。 secret 性和完整性是传输协议(protocol)(传输安全)或 WCF 应用程序(消息安全)的责任。因此，如果您在消息级别上使用加密和签名，则不需要传输安全性。