¿Cómo debo proteger mi WCF Rest/JSON Services para su uso con una aplicación iOS/Android?

Question

Estamos en proceso de crear una nueva pila de aplicaciones web. La funcionalidad del back-end estará fuertemente basada en el servicio, pero como algunos de estos servicios deberán estar expuestos a Internet pública, tendré que asegurarlos. En parte, tuve éxito al bloquear las URL de servicio utilizando el modelo estándar de membresía/proveedor de funciones. La parte con la que estoy teniendo problemas por el momento es si alguna vez construimos una aplicación iOS (o Android) sobre nuestra Pila de Servicios, ¿cómo podríamos manejar la seguridad?

Estoy abierto a sugerencias. He incluido algo de información a continuación sobre la configuración hasta el momento.

1. ASP.NET Sitio web que utiliza Membresía/Proveedor de rol/Autenticación de formularios que se ejecuta en una conexión HTTPS. Solo las páginas predeterminadas/de inicio de sesión/preguntas frecuentes son públicamente accesibles. Todas las otras páginas viven en una carpeta llamada "/ Secure" que requiere que se autentique.

2. WCF WebService. Toda la funcionalidad respaldada se proporciona a través de este servicio. Los puntos finales solo están disponibles en la intranet local. el código de sitio web de ASP.NET detrás se comunica con el servicio utilizando una referencia de servicio estándar.

3. WCF REST/JSON Services. Algunas de las funciones anteriores se vuelven a empaquetar en un servicio WCF REST/JSON. Esto se configuró usando el "WCF REST Template 40". El servicio se enruta usando System.Web.Routing a "/ Secure/jsonsvc/*". Debido a que esto se encuentra debajo de la carpeta/Secure, hereda la seguridad de miembro/rolprovider para cualquier solicitud. p.ej. Las llamadas xmlhttp a este servicio desde un widget JQuery del lado del cliente solo funcionarían para los usuarios que ya iniciaron sesión en nuestro sitio.

4. En el futuro, es posible que estos mismos servicios de WCF Rest/JSON deban ser consumidos por una aplicación externa (por ejemplo, una aplicación de IPad). ¿Cuál sería la mejor manera de abordar esto, dada la falta de un contexto HTTP de sitio/sesión/inicio de sesión?

Answer 1

Como sabe, la autenticación de formularios ASP.NET utiliza una cookie para mantener su sesión autenticada. Dejando de lado cualquier argumento en cuanto a si esta es la mejor manera de manejar las cosas bajo una metodología REST, no veo ninguna razón técnica por la que no puedas usar la misma cookie en tu aplicación iOS.

Obviamente, necesitaría una página web simple de inicio de sesión (que se muestra en su aplicación a través de UIWebView) o un método REST de inicio de sesión para devolver la cookie en primer lugar, y luego en las siguientes solicitudes simplemente devuelva la cookie con la solicitud (aquí hay un poco de information on handling cookies in iOS using the ASIHTTP library).

Un par de cosas importantes a tener en cuenta es que no tiene ningún control sobre la red inalámbrica en la que está el dispositivo, por lo que definitivamente debe usar SSL y también debe tener en cuenta las fallas/reintentos/etc. para un método REST de inicio de sesión tal como lo haría para una página de inicio de sesión (si no más).

Espero que ayude!