Discussion :

[tscoops]

Bonjour,

j'ai commencé depuis quelques jours sur les webservices, j'ai une question à propos de l'autorisation d'exécution d'un webservice.
Voici comment est aujourd'hui notre architecture:
L'utilisateur se connecte sur notre site internet (login/mot de passe) et un identifiant chiffré en MD5 lui est attribuer en base de donnée.
A chaque appel d'une webméthode, on passe l'identifiant, et il y a une vérification qui est faite pour savoir si l'identifiant est valide (donc si la personne s'est réellement connecté) et si c'est le cas la webmethod est exécutée.
Toutes les webméthodes font cette vérification.

Si j'ai bien compris les webservices sont exposés sur internet, et tout le monde peut y avoir accès.
Mais existe t il un moyen pour empêcher de récupérer les méthodes d'un webservice et qu'un utilisateur les utilise alors qu'il en a pas le droit.
Dans l'architecture si dessus, je pense que tout le monde peut les récupérer (si on connait l'adresse bien entendu) mais à l'exécution cela ne fonctionnera pas si on est pas identifié correctement.

Alors l'utilisation de certificat et HTTPS peut il répondre à mes attentes?
C'est à dire n'autoriser que mon serveur web à appeler les webservices et aucun autre client qui les aurait récupéré.


J'espère avoir été clair dans mes explications et je vous remercie d'avance de l'aide que vous pourrez m'apporter.

[Mehdi Feki]

Effectivement c'est possible d'utiliser les policy dans ce cas de figure. Il faut utiliser le Web Services Enhancements 3.0 que tu pourra facilement trouver en cherchant sur le Net. WSE 3.0 implemente la specification WS-Policy.

Quelques liens MSDN :
Web Services Policy Framework (WS-Policy)
How to: Secure a Web Service Without Using a Policy File
Securing a Web Service

Tu peux dans ton cas utiliser un custom policy avec un UserNameToken, pour verifier le hash passé au service Web dans une base de données

[dumser1]

WSE 3.0 rien de tel

[vegas]

Salut,

d'aprés ton architecture, seul ton appli web accède aux WS.
Donc la solution la plus simple consiste à ne pas exposer le WS sur l'internet!!

Tu peux par exemple supprimer l'acces ANONYMOUS sur IIS pour tes WS, ainsi seul ton appli WEB y aura accés.

WSE peut t'être utile pour la communication entre le client et ton appli web, mais c'est un autre problème.