Каковы последствия установки installSecurityContext = "False", если я использую https?

Моя служба WFC использует wsHttpBinding, настроенную с помощью:

<security mode="TransportWithMessageCredential">
    <message establishSecurityContext="True" clientCredentialType="UserName"/>
    <transport clientCredentialType="None" proxyCredentialType="None"/>
</security>

Один из наших партнеров пытается вызвать наши сервисы с помощью библиотеки java Metro. Они эту проблему. Для этого мне нужно установить installSecurityContext = "False". Мы сделали быстрый тест, и он действительно работает, когда я устанавливаю его в false.

Каковы были бы последствия не для использования безопасных сеансов (путем установки installSecurityContext = "False" ). Я уже работаю на https. Так будет ли я в порядке с точки зрения безопасности? И есть ли другие последствия для рассмотрения (возможно, производительность)?

Спасибо

Ответы

Ответ 1

Разница заключается в том, что на не-SCT (токен контекста безопасности) включена конечная точка, обмен ключами и валидация должны выполняться для каждого вызова, а не для того, чтобы выполняться один раз и кэшироваться для сеанса, и только SCT прошел в сообщениях вместо. SCT основаны на симметричном ключе, что делает их намного более эффективными для подписания/шифрования сообщения. Использование SCT очень хорошо, когда клиент, как ожидается, совершит много вызовов подряд, потому что он уменьшает необходимость каждый раз выполнять обмен и проверку одного ключа.

Я бы порекомендовал, что вы просто открываете другую конечную точку для клиентов, которые не поддерживают SCT, и говорят им, чтобы они это использовали. Клиенты, которые могут использовать SCT, которые вы храните, указывают на конечную точку по умолчанию и сохраняют все преимущества, которые приходят с ней.

Подробнее об этом читайте в разделе в разделе три документации WS-SecureConversation.