WCF SOAP 1.1 и WS-Security 1.0, сертификат транспортного сертификата клиента, сертификат службы для сигнатуры тела сообщения, UsernameToken, Password Digest, Nonce

Резюме: Я работаю над клиентом .NET 4.0 WCF для использования веб-службы (DataPower, службы Java на другом конце) с использованием SOAP 1.1 и WS-Security 1.0. Клиент WCF должен внедрить сертификат клиента для взаимной аутентификации на транспортном уровне. Тело сообщения должно быть подписано с использованием отдельного сертификата службы/подписания. Заголовок SOAP также должен содержать токен пользователя с дайджером паролей и включать теги Nonce и Created.

Я могу использовать этот веб-сервис, используя WSE 3.0 с помощью BasicHTTPBinding. Но до сих пор мне не удалось реализовать то же самое с WCF, используя либо WSHttpBinding, либо CustomBinding. Ive пробовал все элементы привязки безопасности и до сих пор не повезло.

В настоящее время я использую SecurityBindingElement.CreateMutualCertificateBindingElement. Ive также пробовал несколько других, таких как AsymmetricSecurityBindingElement, TransportSecurityBindingElement и т.д. (закомментировано в коде ниже)

CERTS: У меня есть как сертификат клиента, так и сертификат службы, загруженный в хранилище сертификатов с использованием MMC (я нахожусь в Windows 7, btw.) И сертификат клиента, и сертификат службы имеют закрытые ключи. Ive загрузил оба файла PFX в LocalMachine/Personal, LocalMachine/Root и LocalMachine/TrustedPeople. Я также запустил FindPrivateKey/ICACLS для разрешения учетной записи "IIS App Pool/DefaultAppPool". Хотя ничто из этого не имеет значения, так как я могу запустить код WSE 3.0 с моей машины, и он работает без каких-либо проблем с сертификатами.

ВЫБОР WCF: В настоящее время я получаю сообщение "Не удалось установить безопасный канал для SSL/TLS с полномочиями" x.x.com "сообщение обратно с шлюза DataPower. Я полагаю, что это может быть связано с тем, что шлюз принимает сертификат службы и использует это для аутентификации клиента вместо использования сертификата клиента, который я отправляю. Я говорю об этом, потому что, когда я не укажу идентификатор DNS для конечной точки, я возвращаю сообщение о том, что шлюз ожидает, что идентификатор DNS будет" {subject name of service/signature certificate}".

Вот запрос SOAP, сгенерированный WCF, который дает указанную выше ошибку. SOAP-запрос WCF очень похож на запрос SOAP WAP. Вышеупомянутая ошибка, скорее всего, происходит из-за проблемы с сертификатом на уровне SSL/Transport.

Вот вся конфигурация, пожалуйста, дайте мне знать, что я делаю неправильно!

WCF web.config: я удалил все из web.config, поскольку я делаю всю конфигурацию в коде.

Ive добавил ProtectionLevel.Sign в ServiceContract и OperationContracts, так как мне нужно только подписать тело сообщения. Я не получил этого еще, чтобы проверить его, хотя.

Ive добавил в web.config следующее ниже, чтобы разрешить ведение журнала всего мыла, включая данные pii.

Итак, как мне преобразовать вышеуказанный код WSE 3.0 в WCF?

Ответы

Ответ 1

Мне удалось решить мою проблему и подключиться к шлюзу веб-сервисов DataPower (IBM Xi50), используя следующие WCF CustomBinding (CertificateOverTransport) и CustomCredentials (UsernameToken с Password Digest, сертификат клиента для проверки подлинности транспортного средства и сертификата обслуживания для сигнатуры тела сообщения. ) Я не уверен, что именно исправила проблему, но вот мой рабочий код WCF! Надеюсь, это поможет другим, кто находится в такой же ситуации, как и я.

Убедитесь, что шлюз DataPower Xi50 также настроен для WCF. От IBM: "При использовании BasicHttpBinding с SSL: вы можете использовать параметр disable-ssl-encipher-check, чтобы отключить проверки шифрования для любых утверждений TransportBinding. Базовый заголовок Auth не поддерживается по умолчанию в прокси-сервере Web-сервисов. on-error для ввода заголовка WWW-Authenticate требуется для взаимодействия с WCF." Для получения дополнительной информации перейдите сюда: https://publib.boulder.ibm.com/infocenter/ieduasst/v1r1m0/index.jsp?topic=/com.ibm.iea.wdatapower/wdatapower/1.0/xa35/380DataPowerWCFIntegration/player.html.

Убедитесь, что вы установили ProtectionLevel.Sign в свой контракт на обслуживание, если вы хотите, чтобы ваш текст был подписан только (а не зашифрован.)

Для DNS Identity, с которыми у меня были проблемы с ранее, я теперь смог указать имя объекта сертификата клиента - раньше это не сработало.

У меня нет конфигурации в моем web.config.

Вот прокси с помощью CustomBinding:

private ClientProxy GetProxy()
{
    XXXServiceClient proxy = new XXXServiceClient(GetCustomBinding(), new EndpointAddress(new Uri("<<GatewayURLHere>>"), EndpointIdentity.CreateDnsIdentity("<<DNS or Client Cert Subject Name>>"), new AddressHeaderCollection()));
    proxy.Endpoint.Behaviors.Remove(typeof(ClientCredentials));
    proxy.Endpoint.Behaviors.Add(new CustomCredentials(<clientCertHere>, <signingCertHere>));
    proxy.ClientCredentials.UserName.UserName = @"XXX";
    proxy.ClientCredentials.UserName.Password = "yyy";
    return proxy;
}

private Binding GetCustomBinding()
{
    TransportSecurityBindingElement secBE = SecurityBindingElement.CreateCertificateOverTransportBindingElement(MessageSecurityVersion.WSSecurity10WSTrustFebruary2005WSSecureConversationFebruary2005WSSecurityPolicy11BasicSecurityProfile10);
    secBE.EndpointSupportingTokenParameters.Signed.Add(new UserNameSecurityTokenParameters { InclusionMode = SecurityTokenInclusionMode.Never, RequireDerivedKeys = false });
    secBE.EnableUnsecuredResponse = true;
    secBE.IncludeTimestamp = true;
    TextMessageEncodingBindingElement textEncBE = new TextMessageEncodingBindingElement(MessageVersion.Soap11WSAddressingAugust2004, System.Text.Encoding.UTF8);
    HttpsTransportBindingElement httpsBE = new HttpsTransportBindingElement();
    httpsBE.RequireClientCertificate = true;

    CustomBinding myBinding = new CustomBinding();
    myBinding.Elements.Add(secBE);
    myBinding.Elements.Add(textEncBE);
    myBinding.Elements.Add(httpsBE);

    return myBinding;
}

Вот мой класс CustomCredentials, который я собрал из нескольких источников, включая вышеупомянутую библиотеку UsernameToken - устанавливает сертификат клиента для (взаимной) аутентификации на транспортном уровне, сертификат службы/подписи для подписи тела сообщения и UsernameToken с помощью Password Digest в заголовке SOAP:

using System;
using System.IdentityModel.Selectors;
using System.IdentityModel.Tokens;
using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;
using System.ServiceModel;
using System.ServiceModel.Channels;
using System.ServiceModel.Description;
using System.ServiceModel.Security;
using System.Text;

namespace XXX_WCF
{
    public class CustomCredentials : ClientCredentials
    {
        private X509Certificate2 clientAuthCert;
        private X509Certificate2 clientSigningCert;

        public CustomCredentials() : base() { }

        public CustomCredentials(CustomCredentials other)
            : base(other)
        {
            clientSigningCert = other.clientSigningCert;
            clientAuthCert = other.clientAuthCert;
        }

        protected override ClientCredentials CloneCore()
        {
            CustomCredentials scc = new CustomCredentials(this);
            return scc;
        }

        public CustomCredentials(X509Certificate2 ClientAuthCert, X509Certificate2 ClientSigningCert)
            : base()
        {
            clientAuthCert = ClientAuthCert;
            clientSigningCert = ClientSigningCert;
        }

        public X509Certificate2 ClientAuthCert
        {
            get { return clientAuthCert; }
            set { clientAuthCert = value; }
        }

        public X509Certificate2 ClientSigningCert
        {
            get { return clientSigningCert; }
            set { clientSigningCert = value; }
        }

        public override SecurityTokenManager CreateSecurityTokenManager()
        {
            return new CustomTokenManager(this);
        }
    }

    public class CustomTokenManager : ClientCredentialsSecurityTokenManager
    {
        private CustomCredentials custCreds;

        public CustomTokenManager(CustomCredentials CustCreds)
            : base(CustCreds)
        {
            custCreds = CustCreds;
        }

        public override SecurityTokenProvider CreateSecurityTokenProvider(SecurityTokenRequirement tokenRequirement)
        {
            if (tokenRequirement.TokenType == SecurityTokenTypes.X509Certificate)
            {
                x509CustomSecurityTokenProvider prov;
                object temp = null;
                TransportSecurityBindingElement secBE = null;

                if (tokenRequirement.Properties.TryGetValue("http://schemas.microsoft.com/ws/2006/05/servicemodel/securitytokenrequirement/SecurityBindingElement", out temp))
                {
                    secBE = (TransportSecurityBindingElement)temp;
                }

                if (secBE == null)
                    prov = new x509CustomSecurityTokenProvider(custCreds.ClientAuthCert);
                else
                    prov = new x509CustomSecurityTokenProvider(custCreds.ClientSigningCert);
                return prov;
            }

            return base.CreateSecurityTokenProvider(tokenRequirement);
        }

        public override System.IdentityModel.Selectors.SecurityTokenSerializer CreateSecurityTokenSerializer(System.IdentityModel.Selectors.SecurityTokenVersion version)
        {
            return new CustomTokenSerializer(System.ServiceModel.Security.SecurityVersion.WSSecurity10);
        }
    }

    class x509CustomSecurityTokenProvider : SecurityTokenProvider
    {
        private X509Certificate2 clientCert;

        public x509CustomSecurityTokenProvider(X509Certificate2 cert)
            : base()
        {
            clientCert = cert;
        }

        protected override SecurityToken GetTokenCore(TimeSpan timeout)
        {
            return new X509SecurityToken(clientCert);
        }
    }

    public class CustomTokenSerializer : WSSecurityTokenSerializer
    {
        public CustomTokenSerializer(SecurityVersion sv) : base(sv) { }

        protected override void WriteTokenCore(System.Xml.XmlWriter writer, System.IdentityModel.Tokens.SecurityToken token)
        {
            if (writer == null)
            {
                throw new ArgumentNullException("writer");
            }
            if (token == null)
            {
                throw new ArgumentNullException("token");
            }

            if (token.GetType() == new UserNameSecurityToken("x", "y").GetType())
            {
                UserNameSecurityToken userToken = token as UserNameSecurityToken;

                if (userToken == null)
                {
                    throw new ArgumentNullException("userToken: " + token.ToString());
                }

                string tokennamespace = "o";

                DateTime created = DateTime.Now;
                string createdStr = created.ToString("yyyy-MM-ddThh:mm:ss.fffZ");
                string phrase = Guid.NewGuid().ToString();
                string nonce = GetSHA1String(phrase);
                string password = GetSHA1String(nonce + createdStr + userToken.Password);
                //string password = userToken.Password;

                writer.WriteStartElement(tokennamespace, "UsernameToken", "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd");
                writer.WriteAttributeString("u", "Id", "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd", token.Id);
                writer.WriteElementString(tokennamespace, "Username", "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd", userToken.UserName);
                writer.WriteStartElement(tokennamespace, "Password", "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd");
                writer.WriteAttributeString("Type", "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-username-token-profile-1.0#PasswordDigest");
                writer.WriteValue(password);
                writer.WriteEndElement();
                writer.WriteStartElement(tokennamespace, "Nonce", "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd");
                writer.WriteAttributeString("EncodingType", "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#Base64Binary");
                writer.WriteValue(nonce);
                writer.WriteEndElement();
                writer.WriteElementString(tokennamespace, "Created", "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd", createdStr);
                writer.WriteEndElement();
                writer.Flush();
            }
            else
            {
                base.WriteTokenCore(writer, token);
            }
        }

        protected string GetSHA1String(string phrase)
        {
            SHA1CryptoServiceProvider sha1Hasher = new SHA1CryptoServiceProvider();
            byte[] hashedDataBytes = sha1Hasher.ComputeHash(Encoding.UTF8.GetBytes(phrase));
            return Convert.ToBase64String(hashedDataBytes);
        }
    }//CustomTokenSerializer
}

Удачи!

Ответ 2

Я просмотрел ваш код и выглядел правильно. Существует небольшая разница в сообщении WAP и WCF, но разница заключается только в том, как ссылается сертификат, используемый для подписания сообщения.

Я думаю, что основной проблемой здесь является неправильное использование сертификатов. Вы используете взаимную безопасность транспорта и сообщений. Теоретически это требует четырех сертификатов. Вам нужно

Сервисный сертификат для безопасности транспорта - этот сертификат используется сервером для создания SSL-соединения. Для успешного создания клиента подключения клиент должен доверять сертификату (вам нужно доверять доверенность, выдавшая сертификат или сертификат сервера, в хранилище доверенных лиц).
Сертификат клиента для безопасности транспорта - этот сертификат используется для аутентификации клиента на сервере на уровне транспорта - у вас должен быть сертификат и его закрытый ключ в вашем личном магазине
Сервисный сертификат для безопасности сообщений - этот сертификат используется для шифрования запроса и подписания ответа (когда используется WS-Security 1.0). Вам нужно иметь этот сертификат где-то на вашем компьютере (зависит от вас, какое местоположение будет использоваться для загрузки сертификата).
Сертификат клиента для безопасности сообщений - этот сертификат используется для шифрования ответа и запроса подписи (когда используется WS-Security 1.0). Вам нужно иметь этот сертификат и его секретный ключ где-то на вашем компьютере (зависит от вас, какое местоположение будет использоваться для загрузки сертификата).

Похоже, у вас есть только два сертификата - один клиент и один сервер. В таком случае они должны, вероятно, использоваться как для транспорта, так и для обеспечения безопасности сообщений. Но здесь возникает интересная проблема - ваш сертификат "подписи" на стороне клиента в примере WSE - это фактически сертификат службы. Если это действительно так, это означает, что клиент должен иметь доступ к закрытому ключу сервера - этого никогда не должно было случиться. Это худшее нарушение инфраструктуры PKI. Инфраструктура PKI основана на доверии к органам сертификации и защите секретных ключей, где каждый участник имеет свой закрытый ключ, недоступный кому-либо еще. Совместное использование секретных ключей снижает безопасность. В худшем случае он не может быть равен никакой безопасности, потому что любой, у кого есть доступ к закрытому ключу, может перехватить сообщение или поддельную подпись в сообщении.

Если я прав, вы должны использовать WSE 3.0 и быть довольным этим. Просто заставить WCF использовать другой клиентский сертификат для HTTPS, а безопасность сообщений может быть довольно сложной. У вас есть одно свойство ClientCertificate, но вам нужно загрузить другой сертификат для HTTPS и безопасности сообщений. Он требует создания пользовательского ClientCredentials с двумя свойствами и настраиваемым SecurityTokenManager для возврата правильного поставщика сертификатов (путем реализации для каждого использования (это теория - я никогда не пробовал)).

Btw. ваша проблема с EndpointIdentity основана на том факте, что ваша служба выставлена на каком-то DNS, и если объект в сертификате службы (который в вашем случае также является подписанным сертификатом) отличается, вы должны создать новый идентификатор DNS для своей конечной точки. В противном случае WCF не будет доверять сертификату. Сертификат сервера должен выдаваться с соответствующим DNS-именем, используемым для доступа к серверу.