Windows kimlik doğrulaması kullanarak orta katmandaki bir kullanıcının nasıl kimlik doğrulaması yapılır

Question

Delphi'de RemObjects DataAbstract/SDK kullanan bir sunucumuz var. Sunucularımıza erişmelerine izin vermek için kullanıcıların kimliklerini doğrulamak için Windows kimlik doğrulamasını kullanmak istiyoruz.

1) İstemci uygulaması sunucuya açık metin olarak, Windows kullanıcı adı ve parola gönderir:

Şu anda aşağıdakileri yapın. Tabii ki

function ValidateUserLogonAPI(const UserName: string; const Domain: string; 
    const PassWord: string) : boolean; 
var 
    Retvar: boolean; 
    LHandle: THandle; 
begin 
    Retvar := LogonUser(PWideChar(UserName), 
           PWideChar(Domain), 
           PWideChar(PassWord), 
           LOGON32_LOGON_NETWORK, 
           LOGON32_PROVIDER_DEFAULT, 
           LHandle); 

    if Retvar then 
    CloseHandle(LHandle); 

    Result := Retvar; 
end; 

bu yöntem, kullanıcının kimlik bilgileri düz metin olarak ağ üzerinden geçirilen bir dezavantajı vardır: 2) sunucusu aşağıdaki işlevi kullanarak kimlik bilgilerini denetler. Bunları şifreleyebilirdik, ancak şifreleme/şifre çözme anahtarlarının uygulama içinde gönderilmesi gerekecekti.

Amacımıza ulaşmanın daha iyi bir yolu olması gerektiğine eminim. Jetonlar hakkında biraz okudum, ama bu durumda nasıl çalışacaklarını gerçekten anlamıyorum.

Çözümün hem Delphi Windows istemcisi hem de Delphi Prism ASP.NET istemcisi için çalışması gerektiğini unutmayın.

Verebileceğiniz herhangi bir yardım için teşekkür ederiz.

Answer 1

Bu, DataAbstract'un kendisi ile başa çıkması gereken bir şeydir ve eğer Datasnap'in olduğu gibi yarım destekli bir kütüphane değilse :) Remoting geldiğinde, uç noktaların doğrulanması/yetkilendirilmesi ve veri alışverişinin korunması gerçekten kritiktir.

Temel olarak, kullanıcı kimlik bilgilerini göndermelisiniz, ancak hem istemci hem de sunucunun kimlik doğrulamanın nasıl yapılacağını bildiği bir "jeton" değiştirmelisiniz. Tam bir açıklama karmaşık olabilir. MSDN'den başlayabilirsiniz (AcceptSecurityContext() ve InitializeSecurityContext() için bakın). Bir olasılık sorunu DataAbastract, birden fazla gidiş-dönüş gerektirebilecek kimlik doğrulama aşamasını uygulamak için uygun kancalar varsa.

Bir durma ölçüsü olarak IPSec'i iletişim kanalını korumak için etkinleştirebilir ve tüm kullanıcı hesabının kolayca "kokla" olmasına izin veremezsiniz.