Добрый день.

Подскажите, в указанном режим безопасности шифруются ли данные аутентификации (имя пользователя и пароль) в сообщениях или передаются в открытом виде?

Искал и из того, что нашел так и не понял.

Никто не знает?

<Аноним>,

Я бы сниффером посмотрел.

Здравствуйте, Аноним, Вы писали:

А>Никто не знает?

Скорее, вопрос сформулирован слишком обще, по-моему. В "стандартных" привязках — нет, насколько мне известно, просто нечем там шифровать.

Здравствуйте, Аноним, Вы писали:
от сюда

Степы в качестве вопросов:

When a WCF service is configured for Message Level security, UserName, the following happens...
The client retrieves the certificate from the server and validates it against the certificate authority. (How does the client know it needs to do this?)
The client encrypts the user name, password, and request using the public key of the certificate for the server.
The server receives the request and decrypts it using it's public and private key.
The server processes the request and returns the result.

Дальше ответ(подтверждение):

The client encrypts the user name, password, and request using the public key of the certificate for the server.
=========================
Yes, this is true from a high level overview. But actually WCF runtime will generate some session key(symmetric key) from the certificate's PKI keys and use that for message encryption.

Вот и все, что вас интересовало ...

P.S. Можете не мой вопрос ответить ?

Здравствуйте, Аноним, Вы писали:

второй вопрос в продолжение темы:

в стандартных привязках (WSHttpBinding в частности) и при сабжевых настройках при старте службы получаю ошибку "Предоствьте сертификат". Как понимать, почему нельзя использовать режим безопасности на уровне сообщений и UserName аутентификацию без защищенного транспорта?

Здравствуйте, Аноним, Вы писали:

Как понимать, почему нельзя использовать режим безопасности на уровне сообщений и UserName аутентификацию без защищенного транспорта?

Потому, что имя и пароль передаются в виде чистого "текста", и без защищенного транспорта это всё равно, что вообще без всякого пароля? Можно без всякого ущерба для безопасности просто дать объявление в СМИ: "Для такого-то сервиса подходят такие-то имена и пароли"

Здравствуйте, Jolly Roger, Вы писали:

JR>Потому, что имя и пароль передаются в виде чистого "текста", и без защищенного транспорта это всё равно, что вообще без всякого пароля? Можно без всякого ущерба для безопасности просто дать объявление в СМИ: "Для такого-то сервиса подходят такие-то имена и пароли"

спасибо.

я правильно понимаю, что тогда мой изначальный вопрос (шифруются ли аутентификационные данные) вообще некорректен ввиду того, что воспроизвести в WCF такое даже не получится (исходя из второго вопроса и вашего ответа)?

Здравствуйте, Аноним, Вы писали:

А>Здравствуйте, Аноним, Вы писали:

А>второй вопрос в продолжение темы:

А>в стандартных привязках (WSHttpBinding в частности) и при сабжевых настройках при старте службы получаю ошибку "Предоствьте сертификат". Как понимать, почему нельзя использовать режим безопасности на уровне сообщений и UserName аутентификацию без защищенного транспорта?

Сертификат нужен именно для безопасности на уровне сообщений.

Здравствуйте, Аноним, Вы писали:

А>я правильно понимаю, что тогда мой изначальный вопрос (шифруются ли аутентификационные данные) вообще некорректен ввиду того, что воспроизвести в WCF такое даже не получится (исходя из второго вопроса и вашего ответа)?

Со 100%-й уверенностью я этого сказать не могу, не уверен, например, на счёт BasicHttp. Но я бы предпочёл иную формулировку — такое не следует даже пытаться сделать.