摘要：HTTPS的七个误解开发网页的时候，往往需要观察HTTP通信。我使用的工具主要有两个，在Firefox中是Firebug，在IE中是Fiddler。但是，一直听别人说，付费软件HttpWatch是这方面最好的工具。前几天，HttpWatch的官方网志刊登了一篇好文章，澄清了一些HTTPS协议容易产生误解的地方。学习之后，我增长了不少网页加密通信的知识。我觉得这篇文章很实用，值得留作参考，就翻译了出来。==============================================HTTPS的七个误解译者：阮一峰误解七：HTTPS无法缓存许多人以为，出于安全考虑，浏览器不会在本地保存 阅读全文
WCF 第九章 诊断
2011-02-12 16:56 by DanielWise, 682 阅读, 0 推荐, 收藏,
摘要：正如你在之前的章节所看到的那样，WCF为配置你的分布式应用程序和使用自定义代码扩展WCF提供了很多选项。考虑到跨机器的复杂性甚至是跨公司交互的复杂性，你仍然有很多地方去找到不可预期行为的源头。 调试分布式程序是一个很有挑战的方面。即便你有权限一步步通过跨服务调用边界访问进程和参数表，远程逻辑可能已经被一个有不同的代码风格和运行逻辑的小组创建。过滤诊断信息来隔离一个特殊流的执行也是有一些困难的-例如，一个独立用户的跨多个服务和机器的会话。 然而，分布式系统的挑战不仅仅是它的原始开发环境，而是要保证易于维护性因为应用程序要在生产环境中使用。IT管理员需要有效的手段来找到问题的根本原因以便于相关责任 阅读全文
WCF 第八章 安全 总结
2011-02-11 15:02 by DanielWise, 386 阅读, 0 推荐, 收藏,
摘要：安全对应用程序来说很明显不是一个容易提供的”特性”, 尤其是当它们在多个不同的程序中，机器上甚至是公司描述时。忽略一个适当的安全策略和结构的惩罚是严厉的，与故障相关的公众信任的丧失是很困难，如果不可能来逆转的。因此，谨慎小心地考虑哪里，何时以及如何应用安全策略应该永远不被忽视。   通过确保同时对调用者和服务端进行身份认证，组织可以保证它们正在与一个期待的组织进行消息交换。授权... 阅读全文
WCF 第八章 安全 日志和审计
2011-02-11 14:05 by DanielWise, 925 阅读, 0 推荐, 收藏,
摘要：就像你在这一章已经看到的那样，有很多选项来设置WCF服务和客户端应用的安全。假设这些设置都是可行的，那么对认证和授权的问题进行诊断也是非常重要的能力。额外的，创建审计追踪来记录对安全架构调用的能力对很多行业，比如银行业和健康护理行业以及那些想要保持与萨班斯-奥克斯利法案和其他监管规定一致的公司是非常重要的。 幸运的是，WCF支持一个对涉及服务安全相关活动的日志创建和审计跟踪的易于配置的结构。 安全审计可以像列表8.39中显示的那样使用ServiceSecurityAuditBehavior来通过配置文件开启。列表8.39 通过ServiceSecurityAuditBehavior配置一个审计 阅读全文
WCF 第八章 安全 因特网上的安全服务(下) 其他认证模式
2011-02-01 13:48 by DanielWise, 800 阅读, 0 推荐, 收藏,
摘要：使用角色提供方进行基于角色的授权ASP.NET 基于角色认证允许开发人员执行基于角色的授权检查。它也使用一个提供者模型，它将用于角色存储的细节从应用程序代码中抽象出来。ASP.NET 中有很多角色提供者模型，包括SqlRoleProvider, WindowsTokenRoleProvider和AuthorizationStoreRoleProvider.因为我们在使用一个面向互联网的应用程序，我们将检查如何使用SqlRoleProvider来实现授权检查。使用一个ASP.NET 角色提供者有好几个步骤。第一个步骤是开启角色用户功能。这是使用roleManager元素在app.config或者 阅读全文
WCF Membership Provider
2011-01-30 16:25 by DanielWise, 3612 阅读, 4 推荐, 收藏,
摘要：ASP.NET 是自.NET 1.x 就已经有的技术，利用IIS+ASP.NET 搭建的网站已经有很多。针对IIS+ASP.NET 的网站模型也有很多案例，通过现在的搜索服务我们可以很轻易的获取这些内容。 大家可能很熟悉如何使用窗体认证，Windows认证，用户名/密码， SQL Server 等认证技术/服务来实现IIS + ASP.NET 站点的认证，而现在我们要讨论的是如何使用ASP.NET 来对WCF 服务进行验证。 现在，我们直接进入主题...我们要讨论的模型简化的说就是WCF + 证书 + 消息认证 + Membership Provider, 具体说来就是WCF服务使用证书对通信 阅读全文
WCF 第八章 安全 因特网上的安全服务(上)
2011-01-27 15:52 by DanielWise, 662 阅读, 0 推荐, 收藏,
摘要：这部分将关注因特网上的安全服务。图片8.6显示了一个通过因特网访问服务的Windows应用程序。这个图片开始重点突出微软公司的软件 + 服务模式，就是你在桌面运行客户端应用程序且可以访问因特网上的服务。这些类型的应用程序需要管理来自因特网的用户的架构。这包括验证并授权来自因特网的用户。这个类型的应用的典型方式是使用一个数据库来存储用户名，密码和角色。有很多理由来做这个，包括账户管理，安全范围和备份还原的易用性。ASP.NET 2.0 通过应用层提供诸如成员关系和基于角色授权的能力。WCF与这些对用户认证和授权的应用层服务集成到一起。这意味着开发人员可以对ASP.NET中很多开箱提供者重用来管理 阅读全文
WCF 第八章 安全 确定替代身份(下)-模仿用户
2011-01-26 12:04 by DanielWise, 726 阅读, 0 推荐, 收藏,
摘要：默认情况下，WCF服务使用宿主服务执行时的身份信息来访问本地和远程资源。由服务负责认证调用方来确定它们是谁，然后执行授权检查来保证它们可以访问其他资源(将使用本地身份来访问)。当运行接收Windows权限信息的服务时，我们有其他选择，比如模拟用户。 身份模拟是使用另外的权限/身份来执行程序逻辑的过程。一个服务可以通过假定调用者的身份来模拟用户。这是一个单次调用的典型周期，但是身份模拟令牌可以被服务保留并重用。调用方所在的线程与模拟身份关联，操作在假定的身份的授权和角色下执行。 因为身份模拟是重要的，通过采用一个调用者的身份，服务仅可以访问调用者有权限访问的资源。通过在调用者的权限下运行，很容易 阅读全文
WCF 第八章 安全 确定替代身份(中)-使用AzMan认证
2011-01-25 17:31 by DanielWise, 902 阅读, 0 推荐, 收藏,
摘要：Windows 认证管理器(AzMan)是一个向应用程序提供基于中央(因此容易维护)角色授权服务的系统，包括WCF，基于定义在认证中心的权限。AzMan使用一个基于MMC实例来管理认证中心和相关访问级别。认证管理器运行时是与物理授权中心独立的，物理授权中心可能基于SQL Server, 活动目录，ADAM或者XML,取决于操作系统使用的类型。 在这一部分，我们将使用一个简单的XML认证中心来配置基于角色的访问我们先前服务的例子。为了与认证管理器一起工作,我们使用微软管理控制台(MMC)并保证认证管理器通过文件被添加，添加/移除管理选项。 为了创建一个认证中心，你必须在开发者模式(相对管理模式) 阅读全文
WCF 第八章 安全 确定替代身份(上)
2011-01-23 22:33 by DanielWise, 735 阅读, 0 推荐, 收藏,
摘要：生成的WCF代理支持一个确定调用服务的替代身份架构。这对很多场景都很有用。例如，如果一个客户端应用支持多个用户身份，这些身份可以通过客户端代理在运行时应用，所以服务可以确定当前用户应该执行哪个动作。 使用Samples.SamplesClient 代理，我们为我们之前创建的"peter"帐户提供用户名和密码，就像在列表8.21中显示的那样。列表8.21 通过客户端生成的代理提供替代凭据 现在运行应用程序结果会在所有的服务中调用成功，但是DisplaySecurityDetails控制台方法显示宿主身份(WindowsInentity.GetCurrent().Name)仍然是系统用户，其他的显 阅读全文
浙公网安备 33010602011771号