如何在Silverlight中隱藏WCF服務地址？

Question

我們有使用WCF服務的silverlight應用程序。在滲透測試中，我們發現了幾個問題其中一個建議是在Silverlight端加密/加密WCF服務地址。

這是一個標準的做法還是它有任何價值？如果服務受到保護，用戶是否能夠通過了解WCF服務位置獲取任何信息。因爲用戶可以隨時反編譯silverlight xap並瞭解我們如何加密WCF地址。

Answer 1

隱藏您發出的數據（例如客戶端代碼）中的祕密是一個衆所周知的難題。基本上，這就是DRM系統所要做的，而且它們都不是防黑客的。如果你給予某人祕密和檢索該祕密的代碼，有人會將祕密輸出。正如JeffN825指出的那樣，您可以始終使用有線監控工具來確定地址（HTTPS地址有點困難，但仍有可能）。所以，我不會付出太多努力來隱藏這個地址，這只是安全性而已，只會延誤潛在的攻擊者。如果服務需要用戶身份驗證，那麼我只關注使該部分安全。如果您嘗試對應用程序進行身份驗證，而不是用戶，則這是一個非常棘手的問題，需要單獨進行一次討論，但這並不能通過地址隱藏來解決。