WCF传输安全性和https

Question

我试图了解更多为什么我不应该通过互联网使用WCF传输安全性。从answer here我被告知，啤酒花链可能不安全。但是，运输安全性不像https（在互联网上广泛使用）吗？或许我应该问，wcf transport和https有什么区别？

如果我需要更清楚地解释自己，请发表评论。

由于

Answer 1

传输安全确实与HTTPS非常相似（在许多情况下也是如此）。它为您提供的是客户端和服务器之间的加密隧道。提供从客户端到服务器的直接连接，它非常好（假设您的客户端验证它获得了正确的服务器证书）。如果您的客户端正在与您依赖的另一个中间服务器通信，那么该中间服务器将获得未加密的数据。

示例：

您有一家处理付款的公司。由于某些规定，您需要在每个国家/地区使用服务器，然后这些服务器会将请求传递到您在美国的主服务器。

您希望确保即使本地托管公司试图找出传递的详细信息，也不能。

邮件安全为您提供的服务 - 您只信任客户端和主服务器，因此您只希望它们能够加密和解密。

使用传输安全性，会有两个转换 - 客户端将加密，中间服务器将解密。然后它将再次加密，您的主服务器将解密。正如您所看到的，存在一个中间阶段，数据在中间服务器的RAM中是明确的。

这篇MSDN文章很好地描述了它，以及在哪里使用它们： MSDN

Answer 2

请查看您提供的链接上的其他答案。它解释了当客户端不检查服务器证书时传输安全性不足的情况。我引用了下面的答案：

---

是的，当客户端（大多数客户端都这样做）验证服务器证书时，它是100％安全的。

这里提到的多跳场景是完全虚假的。只有当相同的消息通过各种应用程序时才会出现这种情况。例如几个应用程序代理。如果这些代理不能安全地通信，那么中间网络嗅探器就可以读取该消息。

换句话说，即使中间有数百万台路由器，互联网上的客户端/服务器通信也是100％安全的，但只有当客户端验证服务器证书时它才是安全的，因为客户端可以连接到man-in-可能使用虚假证书模拟服务器的中间主机。如果客户端未验证证书，则可能会泄露邮件。

Answer 3

  

我试图了解更多为什么我不应该通过互联网使用WCF传输安全性

你不应该因为（引自here）。

运输安全

  

传输安全性用于在两个端点（服务和客户端）之间提供点对点安全性。如果客户端和服务之间存在中间系统，则每个中间点必须通过新的SSL连接转发消息。   

邮件安全

  

使用邮件安全性时，使用WS-Security规范将用户凭据和声明封装在每封邮件中以保护邮件。此选项从身份验证角度提供最大的灵活性。只要客户端和服务都同意，您就可以使用任何类型的安全凭证，这些凭证在很大程度上独立于传输。