Asp.net - 使用SSL防止Cookie重播攻擊

Question

我期望將SSL放置到位以防止Cookie重播攻擊我們的網站。

該網站正在使用.NET窗體身份驗證。我只需要爲登錄頁面啓用SSL，還是需要安全的表單身份驗證背後的每一頁？

感謝

Answer 1

您將需要啓用SSL用於每頁面，瀏覽器被指示發送身份驗證票的cookie。默認情況下，這意味着您的網站上的每個頁面都會顯示頁面，但在向瀏覽器寫入Cookie時，可以指示它只通過HTTPS發送或將其限制爲某些路徑。

但總的來說，這意味着SSL會保護您網站上的每個頁面，而不僅僅是您的登錄頁面。

Answer 2

.net網站transfer non only the viewstate but any cookies back to the server回傳。這會影響您的安全性，因爲使用firesheep（或類似工具）的用戶可以輕鬆獲取身份驗證Cookie，而不是登錄，但是當用戶通過按鈕回發或通過Ajax事件將幾個頁面事件添加到應用程序中時。

如果您有權訪問IIS，則不僅可以啓用SSL，還可以使用but force it。