<?xml version="1.0" encoding="utf-8"?>
	<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/" 
		xmlns:soapenc="http://schemas.xmlsoap.org/soap/encoding/" 
		xmlns:tns="http://tempuri.org/" 
		xmlns:types="http://tempuri.org/encodedTypes" 
		xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
		xmlns:xsd="http://www.w3.org/2001/XMLSchema">
			<soap:Header>
				<wsse:Security xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd" soap:mustUnderstand="1">
					<wsse:UsernameToken xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd" wsu:Id="unt_PQxtsT0a8iV1KN2Y">
						<wsse:Username></wsse:Username>
						<wsse:Password Type="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-username-token-profile-1.0#PasswordText"></wsse:Password>
						<wsse:Nonce EncodingType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#Base64Binary">i03CXze0uiIYG8+q8MhEMYHiMcL/NOpCwvEVpQ5xo+M=</wsse:Nonce>
						<wsu:Created>2012-04-25T22:59:23Z</wsu:Created>
					</wsse:UsernameToken>
					<wsu:Timestamp xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd">
						<wsu:Created>2012-04-25T22:59:23Z</wsu:Created>
						<wsu:Expires>2012-04-25T22:60:23Z</wsu:Expires>
					</wsu:Timestamp>
				</wsse:Security>
			</soap:Header>

MessageServiceWse client = new MessageServiceWse();

UsernameToken usernameToken = new UsernameToken(token.Username, token.Password, PasswordOption.SendPlainText);

client.RequestSoapContext.Security.Tokens.Add(usernameToken);
client.RequestSoapContext.Security.Timestamp.TtlInSeconds = 60;

Ακόμη δοκίμασα με policies, προσπάθησα με config file του WSE, SendSecurityFilter, custom classes. Το αποτέλεσμα είναι πάντα ίδιο.
Αφαιρώντας τον κώδικα ποιο πάνω, και πάλι μου κάνει generate το soap message με τα Security headers, πολύ περίεργο έτσι?

Τέλος σκέφτηκα αν υπάρχει για τέτοιες δουλειές κάποιο 3rd party component. Όποιος γνωρίζει ας μου πει.

Νομίζω πως αυτές είναι standard διαδικασίες και θα έπρεπε να παίζουν ποιο εύκολα. Αλλά αν δεν κάνω σωστά κάτι ας μας βοηθήσει το dotNETZone.

Αμήν.

Ευχαριστώ πολύ.

1. Είναι σημαντικό να έχεις σωστά τα security parameters. Αυτή η απάντηση στο SO περιγράφει το σωστό συνδυασμό
2. Μπορεί το web service να απαιτεί το ws:PasswordDigest προφίλ ενώ το WCF υποστηρίζει μόνο ws:PasswordText. Ο λόγος είναι ότι το digest δεν παρέχει σημαντικά καλύτερη ασφάλεια ενώ υπάρχουν άλλες τεχνικές για πολύ ισχυρότερη ασφάλεια.
   Εδώ περιγράφεται ακριβώς τί υποστηρίζεται και γιατί δεν υποστηρίζεται το digest.
   Αυτό το άρθρο περιγράφει πως να προσθέσεις εσύ υποστήριξη για το digest.
3. Το WCF αρνείται να στείλει WS-Security headers με απλό http://. Ουσιαστικά οφείλεται στο #2
   ΑΝ δημιουργήσεις ένα custom binding, μπορείς να χρησιμοποιήσεις το AllowInsecureTransport attribute για να επιτρέψεις την επικοινωνία με http.
4. Μπορεί το web service να ΜΗΝ υποστηρίζει WS-Security, κι ας σου λένε ότι το κάνει. Δες για παράδειγμα τί έπαθε ο Scott Hanselman όταν του δώσανε ένα web service που χρησιμοποιούσε "περίπου" WS-Security.
   Δεν νομίζω να φταίει αυτό, αλλά που ξέρεις

            ServicePointManager.ServerCertificateValidationCallback += (se, cert, chain, sslerror) =>
            {
                return true;
            };

            ServicePointManager.Expect100Continue = false;

            using (MessageTypeClient client = new MessageTypeClient())
            {
                
                client.ClientCredentials.UserName.UserName = token.Username;
                client.ClientCredentials.UserName.Password = token.Password;
                
                MessageRequest req = new MessageRequest
                {
                    xmlMessage = documentXml
                };

                client.Open();
                
                RequestResult result = client.processMessage(req);

                client.Close();

                if (result.resultState.status != RequestState.OK)
                {
                    throw new MessageException(ResultToString(result.resultState), ErrorsToString(result.ProcessingErrors));
                }
            }

System.ServiceModel.CommunicationObjectFaultedException: The communication object, System.ServiceModel.Channels.ServiceChannel, cannot be used for communication because it is in the Faulted state.

Server stack trace: 
   at System.ServiceModel.Channels.CommunicationObject.Close(TimeSpan timeout)

Exception rethrown at [0]: 
   at System.Runtime.Remoting.Proxies.RealProxy.HandleReturnMessage(IMessage reqMsg, IMessage retMsg)
   at System.Runtime.Remoting.Proxies.RealProxy.PrivateInvoke(MessageData& msgData, Int32 type)
   at System.ServiceModel.ICommunicationObject.Close(TimeSpan timeout)
   at System.ServiceModel.ClientBase`1.System.ServiceModel.ICommunicationObject.Close(TimeSpan timeout)
   at System.ServiceModel.ClientBase`1.Close()
   at System.ServiceModel.ClientBase`1.System.IDisposable.Dispose()

<security defaultAlgorithmSuite="Default" authenticationMode="UserNameOverTransport" requireDerivedKeys="true" includeTimestamp="true" messageSecurityVersion="WSSecurity10WSTrustFebruary2005WSSecureConversationFebruary2005WSSecurityPolicy11BasicSecurityProfile10">
            <secureConversationBootstrap />
          </security>

Τάσκος Γιώργος:

Προσθέτοντας απλά αυτό το Security tag