是否已經存在用於「A安全cookie協議」一個asp.net實施

Question

是否有任何（開源）asp.net實現（在一個HttpHandler或其他的形式），用於下面的紙張：http://www.cse.msu.edu/~alexliu/publications/Cookie/cookie.pdf

Answer 1

這本文假定HMAC +對稱密碼足以抵禦針對HTTP會話的所有攻擊。這是一個不正確的假設，因爲這仍然給MITM攻擊留下了大門。此外，這種使用的密碼系統在CMAC模式下更好地實現爲分組密碼，但這同樣易受攻擊。

如果不保護實際的HTTP內容，就會打開xss風格攻擊的大門。攻擊者通常會轉發流量，但會附加一些惡意JavaScript來使用XHR執行自己的請求。這是假設其他基本會話安全系統已到位，如「僅限HTTP」cookie。

總之，是的，有一個開放源碼協議，可以保護您的會話免受所有攻擊。它的SSL！ SSL使用PKI來抵禦MITM，這是迄今爲止最好的解決方案。 HTTPS需要在整個整個會話中使用，這是OWASP top 10 Broken Authentication and Session Management的要求。