हम एएसपी.Net 2.0 .asmx वेब सेवाओं का एक समूह सुरक्षित करने के लिए देख रहे हैं। जो वेब सेवाओं की मेजबानी करेगा पहले ही प्रमाणित है।
क्या फॉर्म प्रमाणीकरण का उपयोग कर वेब सेवाओं को सुरक्षित करना संभव है? इसे प्राप्त करने के लिए पेशेवरों और विपक्ष और अन्य संभावित तरीके क्या हैं। हम निश्चित रूप से प्रत्येक वेब विधि कॉल में उपयोगकर्ता नाम/पीडब्ल्यूडी या टोकन पास नहीं करना चाहते हैं।क्या फॉर्म प्रमाणीकरण के साथ एक वेब सेवा सुरक्षित करना संभव है?
फॉर्म प्रमाणीकरण के साथ यह बात यह है कि यह लोगों के लिए डिज़ाइन किया गया है, जहां एक वेब सेवा के रूप में क्लाइंट एप्लिकेशन द्वारा उपभोग किया जाता है। हालांकि इस तरह के प्रमाणीकरण करना संभव है, यह सोचने का गलत तरीका है।
सुरक्षा की स्तर स्पष्ट रूप से आवश्यक डेटा की संवेदनशीलता पर निर्भर करती है, लेकिन मैं इसे कम से कम कुछ संवेदनशील (लेकिन बैंक लेनदेन से कम) मानने जा रहा हूं। आप एसएसएल का उपयोग कर सकते हैं और उपयोगकर्ता नाम और पासवर्ड पास कर सकते हैं क्योंकि जेले ने सुझाव दिया था, या जब मैं इसे टाइप कर रहा था, या आपको एपीआई कुंजी की आवश्यकता हो सकती है जैसे फ़्लिकर करता है।
एक और अधिक सुरक्षित विकल्प केवल एक बार उपयोगकर्ता नाम और पासवर्ड को पास करना है (और एसएसएल की सुरक्षा के साथ) और यह एक टोकन दें जो समय के लिए मान्य है। इसका पासवर्ड जानकारी की सुरक्षा, और एसएसएल के निरंतर ओवरहेड से परहेज करने का लाभ है।
जैसा कि उल्लेख किया गया है, यह अत्यधिक संवेदनशीलता पर निर्भर करता है कि जानकारी सुरक्षित है कि आप सुरक्षित करने की कोशिश कर रहे हैं।
यह संभव है, लेकिन आपको उपयोगकर्ताओं को लॉगिन पृष्ठ पर रीडायरेक्ट करने की आवश्यकता होगी। उपयोगकर्ता नाम/पीडब्ल्यू पास करने का एक और विकल्प वेब सेवा का उपयोग एसएसएल से अधिक करना है। यदि आप कनेक्शन एन्क्रिप्ट करते हैं, तो बुनियादी प्रमाणीकरण का कोई समस्या नहीं हो सकती है।
आप फॉर्म प्रमाणीकरण का उपयोग करके अपनी सेवा को सुरक्षित करने के लिए डब्ल्यूएसई का उपयोग करने में सक्षम होना चाहिए - हालांकि व्यक्तिगत रूप से मुझे इसे कभी नहीं करना पड़ा।
यहाँ कुछ WSE का उपयोग कर संसाधन हैं:
WSE का उपयोग नहीं करने के लिए आप के रूप में अन्य presponders में से कुछ का संकेत है कुछ इस तरह लागू करने की आवश्यकता होगी , हालांकि मुझे यकीन नहीं है कि यह कितना विश्वसनीय होगा:
डब्ल्यूएसई अप्रचलित है। इसका उपयोग तब तक न करें जब तक आपके पास कोई विकल्प न हो।
डब्ल्यूएसई के लगभग सभी कार्यों को डब्ल्यूसीएफ द्वारा बेहतर कार्यान्वित किया जाता है। शेष क्षमताओं, जो डब्ल्यूसीएफ द्वारा लागू नहीं हैं, स्वयं अप्रचलित हैं (उदाहरण के लिए, डीआईएमई)।