ASP.NET會員是否受Firesheep保護？

Question

我有一種印象，默認情況下，ASP.NET會員加密其Cookie。

假設ASP.NET Membership防止會話劫持（ala Firesheep）是否相對安全？

Answer 1

ASP.NET會員使用與任何其他網站完全相同的機制，絕對易受Firesheep攻擊。 Cookie本身無法以防止被劫持的方式進行加密。所有與服務器的通信都必須加密，以防止會話劫持，使用SSL或WEP無線加密。

Answer 2

該cookie是加密的，但這並不會阻止某人獲得cookie本身的行爲。

Answer 3

僅當整個會話使用HTTPS時。

firesheep不關心cookie的內容;它需要做的只是在攻擊者的瀏覽器中複製cookie。

只要cookie以明文形式發送（而不是HTTPS或WPA），您仍然易受攻擊。