ASP.net安全cookie的安全性如何

Question

我的理解是ASP生成一個cookie來驗證會話。 但是，如果該cookie是通過非https頻道來回發送的，我不能僅僅通過欺騙cookie來欺騙它嗎？ cookie可以鎖定到特定的IP或其他機器指紋嗎？

Answer 1

ASP.NET中的會話未經過身份驗證 - 身份驗證完全獨立。 通過獲取會話cookie並重新創建它是的，您可以劫持會話，如果您取消身份驗證cookie，那么您可以作為用戶進行身份驗證（這是默認情況下身份驗證cookie到期的原因） - 請參閱http://msdn.microsoft .COM / EN-US /庫/ ms178581.aspx

安全說明很清楚;

SessionID值以明文形式發送，無論是作為cookie還是作為URL的一部分。 惡意用戶可以通過獲取SessionID值並將其包含在對服務器的請求中來訪問另一個用戶的會話。 如果要以會話狀態存儲敏感信息，建議您使用SSL加密瀏覽器和包含SessionID值的服務器之間的任何通信。

Answer 2

在我上一份工作中，我們通過在數據庫中跟蹤用戶的會話ID（我們在URL中附加guid作為查詢字符串，還有其他方法）解決了這個問題，我們還將存儲發出請求的IP地址。 對於所有后續請求（具有會話ID的任何內容，需要獲取任何敏感信息），我們只需檢查會話ID和ip，根據我們進行身份驗證和設置會話時存儲的值進行請求。 Request.UserHostAddress更難以欺騙。 有一些開銷，但它比cookie更安全。