关于COM+中的RPC的问题：人们都说他不安全，但是他不安全在哪里？为什么会不安全？？是由于RPC本身的问题还是COM+的问题？各位知情者给个答案吧！

Question

AFAIK, COM/MTS/COM+ are secure, they have security mechanism built in since COM. I am very interesting to know where you get such information. Could you post them here?

Answer 1

在Internet中，一台提供COM+服务的服务器，他开放135和COM+组件的端口，他是安全的吗？

Answer 2

The firewall issue plagues COM and its competitor (they are both designed for Local Network), does CORBA handle this gracefuly? no.At least for classic COM, there is CIS to workaround this problem.The most important thing here is I don't think application built on internet will use even DCOM or CORBA or RMI between browser client and web server. The established standard is HTTP. When you get familiar with three tier application, you will get more understanding about COM+, which is really a middle-tier server architecture.

Answer 3

Even port 135 is opened for contacting DCOM service, the communication on it is still encrypted. The problem is not the packet but is that often the company IT department don't feel at ease for open any port but HTTP (80), let alone dynamic port.

Answer 4

如果一个公司安装了防火墙，而这个公司提供的服务是这样的：他提供一个大型的数据库和一系列的COM+组件作为中间件；客户通过这个公司提供的一个客户端程序来访问这些服务。
由于COM+的服务端口是135和1024-65535端口之间的动态分配的。这个公司的防火墙开放了这些端口，那么这个公司就不安全了吗？恶意的访问者可以做些什么来攻击他？我实在是个菜鸟。
COM+的这种RPC特性是造成他被称为“不安全”的原因吗？

Answer 5

what I mean is a typical COM+ application target internet won't communicate client with DCOM wire protocol, instead HTTP.

Answer 6

So the issue is avoid opening port other than 80, this is just what a typical distributed application that target internet will do, use HTTP for client/server communication, no matter you use COM+ or not.

Answer 7

to xy2:
但是现在使用socket的程序都存在你说的端口问题。用什么方法解决好呢？soap好配置吗？

Answer 8

using soap to do client/server communication is ok, COM+ is to provide service to middle tier component, use them on server side.

Answer 9

to xy2:
thanks, I know soap is useful.but I want to know if I have to do many thing to setup the soap ？

Answer 10

basically you need create service description file to let client understand how to use your server components, and you have to configure a helper component to listening soap on webserver, then all the remaining task is send soap packet from client side.Try soap toolkit for VC6.

Answer 11

TO xy2:
soap和COM+如何结合在一起，有相关文章吗

Answer 12

SOAP defines how to use XML to encoing method invocation, and pass by HTTP, so it doesn't matter if the object invoked is COM object or COM+ object or even other kind of code, java or anything else.SOAP is coauthored by Microsoft, IBM, Develop mentor's Don Box, who has written a good article of SOAP, it can be found in MSDN Library.<<A Young Person's Guide to The Simple Object Access Protocol: SOAP Increases Interoperability Across Platforms and Languages>> Don Box
and here, http://www.develop.com/soap/

Answer 13

AlexXXX:
你都知道答案还问？
DCOM还有一个弱点是不能穿透防火墙。如果IIS或App Server在防火墙外边这种情况就很容易发生，那么应用的一方和安全的一方就会面临那一方妥协的问题了。
另外COM＋的安全机制有些先天不足，也就是开始时COM+的体系结构中没有完全考虑安全性(几乎是建立在Window内部的安全机制上的，这样对一个优秀的组件体系来说就有些欠缺了)，尽管有些MS的强烈拥护者会认为有专门方案，不过未免都有些牵强。说COM+不安全可能有些伤害COM＋，我认为COM＋很好，只是有像不能穿透防火墙这样的毛病，实际运用中可能会不方便，但不能说COM＋不安全。有缺点和不安全是两码事。SOAP也不是万能的，许多企业防火墙内部也是不开3W端口的，那么SOAP和RPC不是都一样。

Answer 14

>开始时COM+的体系结构中没有完全考虑安全性 IS NOT SAME AS >几乎是建立在Window内部的安全机制上的You can say CORBA 没有完全考虑安全性 for its add on security service API but this statement is definitely not correct for COM+, even for COM.We have discussed DCOM cannot penetrate firewall, but the MOST important thing here is even it will support this feature, distributed enterprise application still won't or should not use DCOM over internet. 
How many money you will pay for integrating with existing enterprise information system, such as CICS, or more morden CORBA system. can you afford the performance hit for CORBA/COM bridge or COM/Java bridge, how many money your clients would pay for having a COM runtime instead of a web browser, doesn't that severely restrict your client segments?