WCF에서 전송은 보안 옵션이 가장 적은 이유는 무엇입니까?

Question

WCF 잘못 구성에 대해 요새화 된 내용은 article입니다. 전송 보안이 사용 가능합니다. 그것은 전송 보안이 보안 옵션 중 가장 적다고 보이며 전송 보안 옵션은 man-in-the-middle 공격에 취약합니다 ...

나는 .... 누구든지 제공 할 수있는 더 구체적인 세부 사항?

Answer 1

메시지가 에서가는 경우이 같은 B을 통해 C에 :

A > https > B > https > C 

서버는보고를 변조 할 수 B.

그리고의 경우

:

A > https > B > http > X > http > C 

하지만 2 엔드 포인트의 간단한 경우 :

A > https > B > http > C 

외부 MITM이 가능합니다

A > https > C 

매우 안전 할 것이라고.

Answer 2

기본적으로 WCF에는 보안을 제공하는 두 가지 방법이 있습니다.

전송 보안 전송 보안은 전송 보안이라고합니다. 각 (http, tcp 등)에는 SSL (보안 소켓 계층) 구현과 같은 전송 보안을 제공하는 고유 한 방식이 있습니다.

전송 보안의 주된 단점은 채널의 한 끝점을 다른 끝점으로 전송하는 경우에만 보안이 적용되며 여러 홉 (hops) 또는 중간 노드를 통한 라우팅에 대한 보안 제공이 없음을 나타냅니다.

메시지 또는 데이터 패킷이 양식 서버의 끝점에서 클라이언트 끝점에 도달 한 후 메시지를 다른 대상으로 전송/전달하는 역방향 프록시 또는 부하 분산기가있는 경우 인스턴스에 대해 메시지가 표시 될 수 있습니다. 보안이 채널 외부에 있지 않은 채널에만 끝나기 때문에 데이터 패킷을 전달하는 중개자 (중개자)가 변조 할 수 있습니다. 따라서 전송 보안은 WCF에서 고려해야 할 최소한의 보안 옵션입니다.

이 당신이 메시지 보안라고 클라이언트와 서버 사이의 모든 SOAP 요청과 보안 자격 증명을 캡슐화하여 메시지 자체를 -Securing 메시지 보안

메시지 보안을 사용할 수 있습니다 극복합니다.

메시지 보안이 중개자가있는 메시지를 직접 서명하고 암호화하므로 보안이 깨지지 않지만 성능이 저하되므로 종단 간 보안을 제공합니다.