大内老A-腾讯云开发者社区

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

大内老A

专栏成员

840

文章

860812

阅读量

118

订阅数

谈谈基于Kerberos的Windows Network Authentication[下篇]

安全 kerberos

六、User2User Sub-Protocol：有效地保障Server的安全通过3个Sub-protocol的介绍，我们可以全面地掌握整个Kerberos的认证过程。实际上，在Windows 2000时代，基于Kerberos的Windows Authentication就是按照这样的工作流程来进行的。但是我在上面一节结束的时候也说了，基于3个Sub-protocol的Kerberos作为一种Network Authentication是具有它自己的局限和安全隐患的。我在整篇文章一直在强调这样的一个原则

2018-02-08

6810

Windows安全认证是如何进行的？[NTLM篇]

《上篇》中我们介绍Kerberos认证的整个流程。在允许的环境下，Kerberos是首选的认证方式。在这之前，Windows主要采用另一种认证协议——NTLM（NT Lan Manager）。NTLM使用在Windows NT和Windows 2000 Server（or later）工作组环境中（Kerberos用在域模式下）。在AD域环境中，如果需要认证Windows NT系统，也必须采用NTLM。较之Kerberos，基于NTLM的认证过程要简单很多。NTLM采用一种质询/应答（Challenge

2018-02-07

1.5K1

Windows安全认证是如何进行的？[Kerberos篇]

最近一段时间都在折腾安全（Security）方面的东西，比如Windows认证、非对称加密、数字证书、数字签名、TLS/SSL、WS-Security等。如果时间允许，我很乐意写一系列的文章与广大网友

2018-02-07

1.5K0

[原创]谈谈基于Kerberos的Windows Network Authentication - Part II

四、引入Ticket Granting Service 通过上面的介绍，我们发现Kerberos实际上一个基于Ticket的认证方式。Client想要获取Server端的资源，先得通过Server的认证；而认证的先决条件是Client向Server提供从KDC获得的一个有Server的Master Key进行加密的Session Ticket（Session Key + Client Info）。可以这么说，Session Ticket是Client进入Server领域的一张门票。而这张门票必须从一个合法

2018-02-07

9901

[WCF权限控制]WCF自定义授权体系详解[实例篇]

在《原理篇》中，我们谈到WCF自定义授权体系具有两个核心的组件：AuthorizationPolicy和ServiceAuthorizationManager，已经它们是如何写作最终提供一种基于声明的授权实现。为了让自定义授权有深刻的理解，我们来进行一个简单实例来演示如何通过自定义这两个组件实现“非角色授权策略”。[源代码从这里下载] 目录：一、创建演示程序解决方案二、自定义AuthorizationPolicy 三、自定义ServiceAuthorizatio

2018-01-16

9130

[WCF权限控制]WCF自定义授权体系详解[原理篇]

到目前为止，我么介绍的授权策略都是围绕着安全主体进行的，基本上都是基于角色的授权。虽然角色是定义权限最为常用的形式，但是它解决不了授权的所有问题。基于角色的授权策略一般是这样的：需要进行访问控制的操作或者资源关联到某个角色上，那么只要访问者被分配了该角色，就被授予了相应的权限。那么假设我们的授权策略是这样的：访问权限和两个角色进行关联，访问者需要同时被分配了这两个角色才能被授权。这是一个很常见的授权策略，但是典型的基于单一角色的授权解决不了这个问题（除非为两个角色的交集创建新的角色）。而这仅仅是一种简单的授

2018-01-16

8580

[WCF权限控制]WCF自定义授权体系详解[原理篇]

到目前为止，我么介绍的授权策略都是围绕着安全主体进行的，基本上都是基于角色的授权。虽然角色是定义权限最为常用的形式，但是它解决不了授权的所有问题。基于角色的授权策略一般是这样的：需要进行访问控制的操作或者资源关联到某个角色上，那么只要访问者被分配了该角色，就被授予了相应的权限。那么假设我们的授权策略是这样的：访问权限和两个角色进行关联，访问者需要同时被分配了这两个角色才能被授权。这是一个很常见的授权策略，但是典型的基于单一角色的授权解决不了这个问题（除非为两个角色的交集创建新的角色）。而这仅仅是一种简单的授

2018-01-16

8010

[WCF权限控制]通过扩展自行实现服务授权[提供源码下载]

其实针对安全主体的授权实现的原理很简单，原则上讲，只要你能在服务操作执行之前能够根据本认证的用户正确设置当前的安全主体就可以了。如果你了解WCF的整个运行时框架结构，你会马上想到用于授权的安全主体初始化可以通过自定义CallContextInitializer来实现。[源代码从这里下载] 目录： CallContextInitializer简介步骤一、自定义CallContextInitializer 步骤二、创建服务行为步骤三、使用服务行为进行授权

2018-01-16

7230

[WCF安全系列]通过绑定元素看各种绑定对消息保护的实现

对消息进行签名和加密分别解决了消息的一致性和机密性问题。而最终是仅仅采用签名还是签名与加密共用取决于契约中对消息保护级别的设置。但是具体的签名和加密在整个WCF框架体系中如何实现？是采用对称加密还是非对称加密？密钥如何而来？相信这些问题在本篇文章中你会找到答案。目录一、BasicHttpBinding 二、WSHttpBinding、WS2007HttpBinding和WSDualHttpBinding 三、NetTcpBinding和NetNamed

2018-01-16

6300

[WCF安全系列]消息的保护等级[下篇]

一、契约的保护等级为绑定进行消息保护设置了“最低标准” 二、显式地将保护等级设置成ProtectionLevel.None与没有设置保护等级有区别吗？三、消息的保护等级与WS-Addressing 一、契约的保护等级为绑定进行消息保护设置了“最低标准” 定义在契约上消息保护级别实际上为WCF实施消息保护设置了一个“最低标准”。由于整个消息保护机制，不论是签名还是加密，都是在信道层实现的。而信道层最终是通过绑定来实现的，绑定的属性决定了信道层处理消息的能力。而绑定安全方面的

2018-01-16

1.2K0

[WCF权限控制]WCF的三种授权模式

前面的两篇文章（《从两个重要的概念谈起：Identity与Principal[上篇]》和《从两个重要的概念谈起：Identity与Principal[下篇]》）主要探讨基于安全主体的授权。通过这些介绍我们知道：如果我们在实施授权的时候，当前线程的安全主体能够被正确设置，我们就可以正确地完成授权。基于相同的原理，对于WCF的服务授权，如果正确的安全主体能够在服务操作被执行之前被正确设置到当前线程，借助于这个安全主体，我们不但可以采用命令式编程的方式将授权逻辑写在相应的操作中，也可以采用声明式编程的方式将授权策

2018-01-16

7480

[WCF权限控制]基于Windows用户组的授权方式[上篇]

windows 安全 asp.net

Windows用户组安全主体权限模式，顾名思义，就是将利用Windows安全系统将对应的Windows帐号所在的用户组作为该用户权限集的授权方式。认证和授权密不可分，但是对于认证和授权在WCF安全体系中的实现来说，它们则是相对独立的。认证属于安全传输的范畴，是在信道层实现的，而授权则是在服务模型层实现的。但是对于基于Windows用户组的授权来说，最终体现出来的授权行为却和采用何种认证具有密切的关系。一、Windows用户组授权与认证的关系无论是对于基于Windows用户组还是基于ASP.NET Rol

2018-01-16

8420

[WCF权限控制]从两个重要的概念谈起：Identity与Principal[下篇]

安全 .net windows

毫不夸张地说，安全主体（Principal）是整个授权机制的核心。我们可以简单地将将安全主体定义成能够被成功实施授权的主体。一个安全主体具有两个基本的要素：基于某个用户的安全身份和该用户具有的权限。绝大部分的授权都是围绕着“角色”进行的，我们将一组相关的权限集和一个角色绑定，然后分配给某个用户。所以在基于角色授权环境下，我们可以简单地将安全主体表示成：身份 + 角色。在.NET基于安全的应用编程接口中，通过IPrincipal接口表示安全主体。目录一、IPrincipal 二

2018-01-16

1.1K0

[WCF权限控制]从两个重要的概念谈起：Identity与Principal[上篇]

在安全领域，认证和授权是两个重要的主题。认证是安全体系的第一道屏障，守护着整个应用或者服务的第一道大门。当访问者叩门请求进入的时候，认证体系通过验证对方提供凭证确定其真实身份。作为看门人的认证体系，只有在证实了访问者的真实身份的情况下才会为其打开城门，否则将之举之门外。当访问者入门之后，并不意味着它可以为所欲为。为了让适合的人干适合的事，就需要授权机制为具体的人设置具体的权限，并根据这些权限设置决定试图调用的操作或者访问的资源对该访问者是否是安全的。对于一个安全保障体系来说，授权是目的。但是授权的执行是假

2018-01-16

7330

[WCF权限控制]ASP.NET Roles授权[下篇]

asp.net windows 安全数据库

在采用Windows认证的情况下，使用基于Windows用户组安全主体权限模式是一个不错的选择。我们可以直接使用现有的用户组设置，也可以为相应的应用或服务创建单独的用户组。但是，由于该模式对Windows认证的依赖，意味着这种模式只能使用于局域网环境中。如果采用证书和Windows帐号的映射，也可以适用于像B2B这样的外部网环境。在其他的网络环境中，基于Windows用户组的授权方式将会无能为力。此外，还具有这样一种状况：即使是在同一个局域网环境中，并且也采用Windows进行客户端认证，但是我们不想创建太

2018-01-16

9890

[WCF权限控制]ASP.NET Roles授权[上篇]

asp.net windows 安全

在采用Windows认证的情况下，使用基于Windows用户组安全主体权限模式是一个不错的选择。我们可以直接使用现有的用户组设置，也可以为相应的应用或服务创建单独的用户组。但是，由于该模式对Windows认证的依赖，意味着这种模式只能使用于局域网环境中。如果采用证书和Windows帐号的映射，也可以适用于像B2B这样的外部网环境。在其他的网络环境中，基于Windows用户组的授权方式将会无能为力。此外，还具有这样一种状况：即使是在同一个局域网环境中，并且也采用Windows进行客户端认证，但是我们不想创建太

2018-01-16

1.1K0

[WCF权限控制]模拟（Impersonation）与委托（Delegation）[上篇]

windows 安全 access

由于服务操作是在寄宿进程中执行，在默认的情况下，服务操作是否具有足够的权限访问某个资源（比如文件）决定于执行寄宿进程Windows帐号的权限设置，而与作为客户端的Windows帐号无关。在有多情况下，我们希望服务操作执行在基于客户端的安全上下文中执行，以解决执行服务进行的帐号权限不足的问题。这就涉及到一个重要的话题——模拟（Impersonation）与委托（Delegation）[实例程序源代码从这里下载] 目录：一、从访问令牌（Access Token）说起二、再谈Windo

2018-01-16

1.6K0

WCF并发（Concurrency）的本质：同一个服务实例上下文（InstanceContext）同时处理多个服务调用请求

引言服务（Service）的本质就是提供服务消费者期望的某种功能，服务的价值体现在两个方面：服务本身的质量和寄宿服务的平台应付消费者的数量，并发（Concurrency）的关注的是第二个要素。WCF服务寄宿于资源有限的环境中，要实现服务效用的最大化，需要考虑如何利用现有的资源实现最大的吞吐量（Throughput）。提高吞吐量就某个寄宿的服务实例（Service Instance）来说，一个重要的途径就是让它能够同时处理来自各个客户端（服务代理）的并发访问。WCF实现了一套完整的并发控制体系，为你提供了不

2018-01-16

1.1K0

WCF中的Binding模型之六（完结篇）：从绑定元素认识系统预定义绑定

tcp/ip windows 安全 http https

由于绑定对象由一系列有序的绑定元素组成，绑定元素最终决定着信道栈中信道的组成，而信道的组成最终又决定了信道栈对消息进行处理的方式和能力，所有要确定绑定的特性和能力，我们可以通过查看其绑定元素的构成来一窥究竟。为此我们我们写了一个简单的方法，用于列出一个具体的绑定对象所有的绑定元素，在介绍一个个具体的系统绑定中，我会使用该方法： 1: static void ListAllBindingElements(Binding binding) 2: { 3: BindingElementC

2018-01-16

9110

《我的WCF之旅》博文系列汇总

.net 安全分布式

WCF是构建和运行互联系统的一系列技术的总称，它是建立在Web Service架构上的一个全新的通信平台。你可以把它看成是.NET平台上的新一代的Web Service。WCF为我们提供了安全、可靠的的消息通信，也为我们提供了更好的可互操作性是的我们可以和其他的平台进行“交流”。微软斥巨资打造WCF，在我们看来主要出于下面两个目的：实现其对现有的分布式技术的整合以及顺应SOA的浪潮。在WCF之前，微软已经为了提供了一套完整的基于分布式的技术和产品，这些技术和产品使我们构建一个基于于分布式的互联系统变得

2018-01-16

6660

点击加载更多

社区活动

【纪录片】中国数据库前世今生

穿越半个世纪，探寻中国数据库50年的发展历程

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态