WCF安全策略，以防止共享用户名/密码

Question

我想为我的客户设计一个WCF服务，可以通过互联网从我的客户的业务合作伙伴调用。我应该采用什么样的WCF安全策略，以防止业务合作伙伴向我的客户的竞争对手提供其服务的用户名/密码的情况，从而允许竞争对手致电该服务，以使该服务认为它是业务合作伙伴呼叫。 I.o.w.在WCF安全中有没有一种方法可以确认服务的调用者确实是业务合作伙伴，而不是使用业务伙伴的用户名/密码的第三方？任何意见将不胜感激。

Answer 1

这通常由合作伙伴之间的协议处理。您的合作伙伴必须签署NDA以执行$$$制裁，以便将您的机密信息提供给其他方。

人们负责保护证书。您永远无法保证您的服务足以避免任何证书披露。即使客户端证书也可以安装在另一台机器上。

如何让这个更难超越WCF - IP地址，VPN隧道等访问列表。

Answer 2

您可以通过使用SSL客户端证书使用双向证书身份验证来识别客户端，从而缓解此问题。然而，这是不够的，因为流氓客户可以将证书导出并提供给竞争对手。如果知道客户端的IP地址，我可以考虑的另一种方法是只使用防火墙规则限制那些IP地址的连接请求。