Ошибка безопасности аутентификации форм

Question

Я использую VSTS 2008 + C# + .Net 3.5 + IIS 7.0 + ASP.Net. В моем понимании аутентификации форм, переменной сеанса (используется для идентификатора аутентификации, то есть когда пользователь прошел аутентификацию, у пользователя будет такая переменная сеанса, а переменная сеанса будет реализована как файл cookie) для аутентифицированного пользователя.

Моя забота об этом режиме - каждый раз, когда пользователь получает доступ к странице на веб-сайте, переменная сеанса будет передана на сервер. Он может быть ослаблен хакером, и хакер может использовать такую ​​переменную сеанса, чтобы претендовать на роль конечного пользователя? Это риск для безопасности?

Если это риск для безопасности, то мы должны постоянно использовать https с помощью проверки подлинности с помощью форм?

спасибо заранее, Джордж

Answer 1

У меня были аналогичные проблемы в связи с просьбой одного из наших партнеров ... (см подробно здесь: https://stackoverflow.com/questions/1367574/rewriting-urls-using-reverse-proxy)

Как выясняется, это «законный» процесс на самом деле, используя хакерство метод называется «средний человек». Он технически претендует на то, чтобы быть пользователем, сохраняя идентификатор файла cookie в своем собственном контексте сеанса при работе с сервером и сохраняя раздельный для клиентского компьютера.

Итак, теоретически это можно сделать, и это угроза. Использование SSL - это правильный способ, по моему мнению, если данные каким-либо образом чувствительны.

---

достаточно смешной в этой статье Microsoft Support http://support.microsoft.com/kb/910443 фразировка заставляет вас поверить, что это на самом деле то же самое для каждого запроса ...

формы аутентификации печенье не что иное, как контейнер для билета проверки подлинности форм. Билет передается как значение cookie для проверки подлинности форм с каждым запросом и используется проверкой подлинности форм на сервере для идентификации аутентифицированного пользователя.

Печенье можно зашифровать, используя шифрование 3DES. Это можно включить, установив атрибут защиты на Проверка раздела аутентификации файла web.config. Используя этот параметр, сервер проверяет данные в файле cookie для каждой транзакции. Это добавляет немного накладные расходы, хотя ...

Answer 2

Вы можете обратиться к этому question еще некоторое информации. Это потенциальный риск для безопасности и предоставление действительно безопасного соединения, которое вам нужно будет использовать для HTTPS.

Answer 3

Да, идентификатор сеанса может быть украден, обнюхивая трафик, поэтому существует риск безопасности, связанный с использованием сеанса для идентификации. Обычно считается, что он безопасен для некритических сайтов, но если у вас есть сайт, на котором важна безопасность (banking, et.c), вам необходимо использовать SSL, чтобы быть достаточно безопасным.

Answer 4

Абонентская идентификатор сеанса не используется как часть куки аутентификации - куки аутентификации, и куки сессии отдельно. Поэтому, если части вашего веб-сайта требуют аутентификации, идентификатор сеанса будет недостаточным для входа.

Сказав, что, если хакер обнюхивает трафик, они также собираются просмотреть файл cookie аутентификации, и поэтому могут воссоздать оба.

Answer 5

Да! Просто убедитесь, что добавить: RequireSSL = «истина» на вашем web.config формы тег

<authentication mode="Forms"> 
    <forms loginUrl="~/Account/LogOn" timeout="2880" requireSSL="true" /> 
    </authentication> 

Затем вы можете также использовать некоторые переписывают, чтобы убедиться, что протокол HTTPS используется на страницах или каталогов, которые требуют authenntication. В MVC вы можете использовать атрибут фильтра [RequireHttps].

 <rewriteMap name="SSL_Required_pages" defaultValue=""> 
     <add key="/simulacao-seguro-automovel.aspx" value="/simulacao-seguro-automovel.aspx" /> 
     </rewriteMap> 
     <rule name="Enforce SSL pages"> 
     <match url="(.*)" /> 
     <conditions> 
      <add input="{SSL_Required_pages:{HTTP_URL}}" pattern="(.+)" /> 
      <add input="{HTTPS}" pattern="off" /> 
      <add input="{HTTP_HOST}" pattern="mysite\.com" /> 
     </conditions> 
     <action type="Redirect" url="https://mysite.com/{R:1}" redirectType="Permanent" /> 
     </rule> 
     <rule name="Enforce SSL to secure directories"> 
     <match url="(.*)" /> 
     <conditions> 
      <add input="{PATH_INFO}" pattern="^/admin/|^/admin|^/fale-conosco/|^/fale-conosco" /> 
      <add input="{HTTPS}" pattern="off" /> 
      <add input="{HTTP_HOST}" pattern="mysite\.com" /> 
     </conditions> 
     <action type="Redirect" url="https://www.mysite.com/{R:1}" redirectType="Permanent" /> 
     </rule>