biscotto pubblica ASPXAUTH e sicurezza

Question

A causa di un bug in Flash, devo usare il cookie ASPXAUTH per accedere un utente in una pagina che uno script di upload lampo chiama dopo il caricamento. Vedi questa pagina per ulteriori informazioni: http://geekswithblogs.net/apopovsky/archive/2009/05/06/working-around-flash-cookie-bug-in-asp.net-mvc.aspx

Devo fare la stringa ASPXAUTH "pubblico", nel senso che sarà nel codice HTML della pagina. La mia domanda è, quanto è sicuro questo?

Capisco che qualcuno che può arrivare alla stringa nel codice HTML probabilmente può arrivare ad essa dal cookie altrettanto facilmente, ma diciamo qualcuno ha questa stringa ASPXAUTH. E 'possibile che si può effettuare il login come un altro utente che utilizza questo cookie? Sarebbero in grado di decifrarlo?

Bara

Answer 1

Il valore del cookie di autenticazione moduli potrebbe essere decifrati se un 3rd party aveva ottenuto la chiave di decrittazione utilizzato dal tuo sito web. In caso contrario, credo che sarebbe stato un caso di utilizzo di metodi di forza bruta per schiacciare esso.

Answer 2

Assicurati di evitare la pagina dal caching sia a client, proxy e server.

È davvero non si desidera che la pagina da memorizzare in qualsiasi cache se contiene ASPXAUTH valori dei cookie nel markup.

Personalmente vorrei utilizzare SSL per la connessione se fosse dati molto sensibili.