如何保护Windows窗体应用程序访问的Windows Azure中运行的WCF服务的安全

Question

伙计们，

我们正在开发一个应用程序，该应用程序是可下载的WinForms应用程序的一部分，该应用程序连接到一组由Azure托管的WCF服务。

现在，我们的主要问题是如何正确保护这些服务，以防止DoS攻击和其他安全问题。

WinForms应用程序将安装在全球任何地方的最终用户PC上（他们将能够从我们的网站上下载该文件），因此我们无法控制最终用户对我们的应用程序执行的操作。

我们已经尽可能地保护了应用程序的安全，但是我们知道没有任何坚不可摧的。 现在，我们的主要目标是确保这些Web服务的方法仅由我们的应用程序调用，并且我们可以防御攻击。

我们找到了Microsoft的最佳实践白皮书，指出在某些情况下我们可以使用GateKeeper情况（例如用于存储）。 我们还没有为队列选择任何内容。

另一个问题是如何最好地控制从WinForms应用程序到云服务的身份验证。

这里有没有人开发或从事过任何类似的项目并想分享一些想法？

干杯，

Answer 1

现在，我们的主要目标是确保这些Web服务的方法仅由我们的应用程序调用，并且我们可以防御攻击。

将其替换为：现在，我们的主要目标是确保这些Web服务的方法仅由我们的应用程序调用， 或者确保我们可以防御攻击。

这有点现实：)除非您绝对信任他们并开始为他们签发证书，否则根本无法保证将从客户端调用该服务。 （他们将丢失，其个人计算机将被黑客入侵，等等）

如果要保护服务安全，则必须为每种可能的攻击情况做好准备，除非可以100％确定地将其排除。

Answer 2

这个问题已经被反复问过。 如果Web服务托管在具有公共IP的任何服务器上，则阻止客户端的唯一方法是先对它们进行身份验证，如果身份验证通过，则可以使用该方法，如果失败，则不能使用。 身份验证和授权是Internet上托管的任何服务的关键，否则将服务保持私有。

为了验证WCF服务，已经提供了一些模式和实践，看来您已经做好了准备。