WCF使用Kerberos Authentication时SPN未验证的技术咨询

1. 我们的WCF配置是否正确？ #

你的WCF配置存在安全疏漏——默认情况下，WCF的Kerberos绑定仅验证Kerberos票据的合法性（由域KDC签发），不会主动校验票据中的SPN是否与服务运行账户绑定。正是这种默认配置导致了任意合法SPN都能通过验证的现象，说明服务端未启用SPN与账户关联的校验逻辑。

2. 此现象是否为设计预期？ #

这不是WCF Kerberos身份验证的默认安全设计预期，但属于默认配置下的行为。WCF的该设计是为了兼容部分复杂场景（如多服务共享SPN），但如果没有额外配置校验规则，就会出现你遇到的安全缺口。

3. 即使服务运行账户未注册所用SPN，该场景是否安全？ #

完全不安全，这属于典型的Kerberos身份欺骗风险：

• 攻击者可注册任意合法SPN，只要能获取对应SPN的有效Kerberos票据，就能冒充该身份连接服务。
• 服务无法确认客户端请求的目标SPN是否为自身预期身份，可能引发服务冒充、数据泄露或权限滥用等问题。

4. 若不安全，如何实现对所用SPN需注册在服务运行账户下的验证？ #

可以通过以下两种方式实现强制校验：

方式一：配置服务端绑定的SPN并启用身份验证模式 #

在服务端配置中明确指定绑定的SPN，同时确保服务运行账户已注册该SPN：

<bindings>
  <netTcpBinding>
    <binding name="KerberosBinding">
      <security mode="Transport">
        <transport clientCredentialType="Windows" />
      </security>
    </binding>
  </netTcpBinding>
</bindings>
<behaviors>
  <serviceBehaviors>
    <behavior name="KerberosServiceBehavior">
      <serviceCredentials>
        <windowsAuthentication allowAnonymousLogons="false" includeWindowsGroups="true" />
      </serviceCredentials>
    </behavior>
  </serviceBehaviors>
</behaviors>
<services>
  <service name="YourServiceNamespace.YourService" behaviorConfiguration="KerberosServiceBehavior">
    <endpoint address="" 
              binding="netTcpBinding" 
              bindingConfiguration="KerberosBinding" 
              contract="YourServiceNamespace.IYourService"
              identity="servicePrincipalName: testspn/serveruser" />
  </service>
</services>

方式二：自定义服务授权逻辑 #

实现自定义授权管理器，校验客户端票据中的SPN是否与服务运行账户的注册SPN匹配：

public class SpnValidationAuthorizationManager : ServiceAuthorizationManager
{
    protected override bool CheckAccessCore(OperationContext operationContext)
    {
        var identity = operationContext.ServiceSecurityContext.WindowsIdentity;
        if (identity == null || !identity.IsAuthenticated)
            return false;

        // 从配置或AD查询服务预期的SPN
        string expectedSpn = "testspn/serveruser";
        var spnClaim = operationContext.ServiceSecurityContext.AuthorizationContext.Claims
            .FirstOrDefault(c => c.ClaimType == "http://schemas.microsoft.com/ws/2005/05/identity/claims/spn");
        
        if (spnClaim == null || !string.Equals(spnClaim.Resource, expectedSpn, StringComparison.OrdinalIgnoreCase))
            return false;

        return base.CheckAccessCore(operationContext);
    }
}

然后在服务行为中配置该授权管理器：

<serviceBehaviors>
  <behavior name="KerberosServiceBehavior">
    <serviceAuthorization serviceAuthorizationManagerType="YourNamespace.SpnValidationAuthorizationManager, YourAssembly" />
    <!-- 其他配置项 -->
  </behavior>
</serviceBehaviors>

额外注意事项 #

• 务必使用setspn -S命令为服务运行账户注册目标SPN，避免重复注册或权限问题。
• 保持域环境中禁用NTLM回退的设置生效，确保仅使用Kerberos身份验证。

内容的提问来源于stack exchange，提问作者mindlesswaisty