Version imprimable
Bonjour,
Je ne connais pas très bien l'architecture derrière PollingDuplexHttpBinding .
Toutefois je voudrais créer un service d'enregistrement dans lequel les clients qui appellent la méthode renseigneront un login et un mot de passe.
La transmission de ces données est-elle securisée? cryptée?
Si non, comment sécuriser les messages (appels) en PollingDuplex?
D'avance merci
:roll:
Si tu le fais sur du https alors ca sera sécurisé
as-tu un tutoriel pour créer un service poolingduplex sur du https ?
N'y-a-t-il pas plus simple? les données échangées sont réellement en claires?
Lire la doc, c'est bien :ccool:Citation:
Envoyé par Mandotnet
http://msdn.microsoft.com/en-us/libr...8VS.95%29.aspx
Le duplex tcp?Citation:
Envoyé par Mandotnet
Ben pas en https...Citation:
Envoyé par Mandotnet
Ok pour le SSL mais ça me parait compliqué entre la phase de dev, de test et de production, avec la génération de certificat + passage par une autorité de certificat pour délivrer le certif au bon domain....
Au delà du transport (et donc https/ssl), le cryptage du message n'est-il pas suffisant?
(mon objectif est de permettre un enregistrement sécurisé lors de l'appel du service et donc juste m'assurer que le login et MdP n'est pas en clair...).
l'exemple ici me semble pas mal: http://msdn.microsoft.com/fr-fr/libr...(v=vs.90).aspx
par contre il se passe d'une CA (certificat de la machine local) est globalement suffisant ? sachant que derrière c'est une plateforme de services non critique (pas de paiement, de données sensibles ...)
Merci d'avance.
En fait, j'ai une question plus simple: quelle est l'utilité d'une communication duplexe ici? Quel scénario te l'impose?
Pour le SSL, c'est plutôt facile, tu peux tout faire avec une autorité de certification maison.
Pour la sécurité sur message, ca n'est pas supporté par Silverlight.
Il s'agit d'une plateforme de services qui regroupe notamment:
- système de messagerie "instantanée".
- applications push.
- jeu en tour par tour.
L'ensemble repose sur une architecture en services avec l'utilisation d'un token pour pouvoir utiliser les services en questions.
Ma phase critique porte sur l'enregistrement et la négociation du token.
Le deuxième risque porte sur la triche et l'usurpation d'identitée.
autre proposition :
Utiliser RSA pour échanger mes messages?
Que pensez-vous de ce système:
Avant de se connecter, le client SL génère un couple public/private - Key1
la public key 1 est envoyée au serveur.
Le serveur génère une public/private - key2
Le serveur envoie la public key2 en utilisant la public key1
Le client recupère la public key 2
Le client envoie son authentification (login/mdp) en utilisant la public key 2.
Est-ce secure de procéder comme cela??
(dsl je suis newbie en securité informatique).
d'avance merci,
Bah c'est réinventer la roue et ca s'appelle SSL quoi... :aie:
Pendant la phase de développement, sous VS2010; Il est possible d'éxécuter la partie serveur avec SSL ? (ie. sans IIS)
Ce que tu peux faire c'est qu'en dev ca fait du http et en prod du https, c'est qu'un switch de config (*)
M'enfin je vois toujours pas l'interet de se passer du https. Une autorité de certification pour du dev ca se fait en deux clics. Signer sa machine aussi. Installer IIS est d'après moi un prérequis pour faire du dev web (non Cassini n'est pas suffisant). Après effectivement c'est un peu de boulot mais c'est une plus grosse garantie de faire "quasi comme en prod", ca évite les "ah ben oui mais sur ma machine c'etait du http et pas sur iis alors je sais pas pourquoi en prod ca plante". Faut se donner les moyens de faire un dev correct un peu, sinon autant plier les gaules et rentrer à la maison direct.
(*) En théorie car des fois, ca peut s'avérer un chouia plus compliqué (credentials qui refusent de transiter sur une couche non sécurisée par exemple)
Petite parenthèse :
Sans parler d’architecture, je trouve ça moyen que coté serveur on ait connaissance du mon mot de passe. Il est préférable de générer une empreinte dudit mot de passe, et de stocker cette-ci coté serveur (après une phase de consolidation, avec un peu de sel notamment), plutôt que de crypter le mot de passe et de le décrypter à la demande coté serveur.
Côté serveur j'enregistre l'emprunte (dans la partie persistance utilisateur).
Par contre, est-ce que le client doit envoyer l'emprunte uniquement?
(c'est vrai que par défaut c'est le mot de passe que je transmets pour ensuite comparer les empruntes...)
Par contre je ne stocke évidement pas les MdP en clair.
C'est mieux si le client n'envoie que l'empreinte. Comme ça le mot de passe transite moins, c'est toujours mieux.
Si j'utilise makecert sur mon serveur iis, est-ce valable pour mes clients?
certes, je cours un risque sur mon serveur, mais mes clients auront-ils un pb si je ne passe pas par une CA "officiel" pour le CA? est-ce transparant pour eux?
Mand.