Webservice : C# Application web

Version imprimable

20/02/2012, 13h24
hx.jonathan

Webservice : C# Application web

Bonjour,

Je viens vers vous car je bloque sur la sécurisation d'un webservice.

Contexte : je crée une appli web avec VS 2010 qui permet via un webservice de communiquer avec une application Windows. Je peux utiliser les méthodes publiées via la webservices et faire des opérations CRUD sans aucun problèmes. J'en suis à l'étape de sécurisation du webservice. C'est là que je bloque.

J'ai cherché longuement sur la toile pour savoir comment bien sécuriser un webservice. Comme réponse, j'ai trouvé :

- utilisation d'un soapheader dans lequel on passe le username et le password
- génération d'un token
- cryptage username et password via HTTPS SSL.

En pratique, je ne vois pas très bien comment procéder et quelles sont les principales étapes.

Tout d'abord je suppose que je peux utiliser le form d'authentification crée par défaut par VS2010. Voici comment je vois les choses mais à vous de me corriger.

1) le user clique sur log in,
2) le username et password sont sauvés dans le header (headersoap) ainsi qu'un token généré par GUID.
3) Ces 3 infos sont sauvés en BDD.
4) vérification si le user à le droit d'accéder aux méthodes du webservice
5) affiche des infos demandés par le user.

Mes questions :

1) les étapes vous semblent-elles cohérentes ?
2) Si je pars du principe que je stocke mes users dans une DB SQL , dois-je changer quelque chose dans le webconfig afin que le check du couple username, password se fasse au sein de ma DB sql et non au sein de la DB ASPNET.MDF généréee par VS 2010 ?
3) dois-je mettre defaultcredentials à false dans mon code ?
4) comment être sûr que mon username, password et token soient bien passés via le header soap ?

Si vous pouviez me mettre sur la voie, ça m'aiderait beaucoup à y voir plus clair.
Je reviendrait alors vers vous avec mes premières lignes de code.

Tout grand merci.

Bon j'ai un peu avancé dans le code. J'essaie d'y aller pas à pas. Voici le contenu de mon webservice :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Services;
using System.Web.Services.Protocols;
 
namespace Test_00
{
 
    [WebService(Namespace = "http://tempuri.org/")]
    [WebServiceBinding(ConformsTo = WsiProfiles.BasicProfile1_1)]
    [System.ComponentModel.ToolboxItem(false)]
    // To allow this Web Service to be called from script, using ASP.NET AJAX, uncomment the following line. 
    // [System.Web.Script.Services.ScriptService]
 
 
    public class AuthHeader : SoapHeader
    {
        public string Login { get; set; }
        public string Password { get; set; }
    }
 
    public class WebServiceTest : System.Web.Services.WebService
    {
 
        public AuthHeader SecuredHeader { get; set; }
        [WebMethod]
        [SoapHeader("SecuredHeader")]
 
        public string HelloWorld(String nom)
        {
            String response;
            if (this.SecuredHeader!=null && this.SecuredHeader.Login == "Toto" && this.SecuredHeader.Password == "TotoPassword")
            {
                response = "Hello " + nom;
            }
            else
            {
                response = "Authentification failed"; // Cas où l'utilisateur n'est pas authentifié
            }
            return response;
        }
    }
}

Mon problème c'est que je ne parviens pas à faire en sorte que ma méthode HelloWorld me renvoie autre chose que "Authentification failed". Ce qui est aussi bizarre c'est que lorsque j'utilise la méthode HelloWorld(), aucun paramètre ne m'est demandé alors que dans sa définition elle requiert un paramètre "nom".

Pourriez-vous me donner quelques pistes ?

Merci

Voici comment je procède pour tester la méthode HelloWorld() :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
 
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Data.SqlClient;
using System.Data;
using System.Configuration;
using System.Web.Services;
using System.Web.Services.Protocols;
 
namespace Test_00
{
    public partial class Edit : System.Web.UI.Page
    {
 
        protected void Page_Load(object sender, EventArgs e)
        {
 
            WebServiceTest WSTest = new WebServiceTest();
            WR_WebserviceTest.WebServiceTest WS = new WR_WebserviceTest.WebServiceTest();
 
            AuthHeader header = new AuthHeader();
            header.Login = "Toto";
            header.Password = "TotoPassword";
 
            LabelResultHelloWorld.Text= WSTest.HelloWorld("Tom");
 
 
 
        }
    }
}

Un petit coup de main ne serait pas de refus. Si vous avez besoin de plus d'infos, n'hésitez pas. ;)

21/02/2012, 12h38
micka132

Bon je connais pas du tout, mais ne devrais tu pas rajouter? :

Code:

WSTest.AuthHeaderValue=header ;

Bien sur je suppose aussi que tu as fait un refresh de ta référence de service?
21/02/2012, 14h31
hx.jonathan

Non étant donné que VS2010 ne me propose pas cette formulation.

Pourtant lorsque je lance le webservice je vois bien les sections AuthHeader avec Login et Password.

Je comprends pas trop là.
21/02/2012, 15h00
micka132

Peut etre SecuredHeaderValue ?
:roll:
21/02/2012, 15h54
hx.jonathan

Je pense que j'ai dû louper qqch mais je vois pas quoi. Ce que je vois c'est que je n'utilise pas WS dans mon code alors que je l'intancie :

Code:

WR_WebserviceTest.WebServiceTest WS = new WR_WebserviceTest.WebServiceTest();
22/02/2012, 14h35
hx.jonathan

En repassant sur le code, je viens de remarquer qu'en effet en ajoutant :

Code:

WSTest.AuthHeaderValue=header ;

le problème est réglé.

Merci beaucoup.
28/02/2012, 17h20
bacarndiaye

Bonjour tout le monde, j'ai à peu prêt le même problème que toi.
J'aimerai savoir d'ou vient le "AuthHeaderValue"
Merci