Dlaczego program ASP.NET akceptuje identyfikatory sesji utworzone zewnętrznie?

Question

Mam witrynę sieci Web ASP.NET 3.5 przy użyciu standardowego dostawcy członkostwa SQL.

Aplikacja musi przejść produkt IBM Rational AppScan, zanim będziemy mogli przejść do produkcji.

otrzymuję błąd:
Zagrożenie: Duże Rodzaj
testową: application
narażony URL: http://mytestserver/myapp/login.aspx
rekultywacją Zadania: nie akceptują tworzone zewnętrznie identyfikatory sesji

Co mogę zrobić to naprawić?

Używam programu SQL Membership Provider. Czy to jest powiązane? Używam również standardowych elementów sterujących logowania. Mam "Remember Me" wyłączone i ukryte.

Dzięki.

Answer 1

To nie jest luka w zabezpieczeniach (i naprawdę nie lubię AppScan z powodu fałszywej pozytywnej es - ile razy musiałem tłumaczyć, że pliki cookie CSRF nie muszą być powiązane z sesją w moim małym projekcie open source, staje się denerwujące).

Wszystko, co stanie się w tym przypadku, to pierwszy raz, gdy wszystko jest przechowywane w stanie sesji z utworzonym identyfikatorem sesji, a nowa sesja zostanie otwarta na serwerze, bez niczego. Jeśli obawiasz się naprawy sesji, możesz wyczyścić plik cookie po uwierzytelnieniu.

Jednak przy uwierzytelnianiu formularzy szczegóły uwierzytelniania nie są przechowywane w sesji, więc utrwalenie nie stanowi problemu.

Szczerze mówiąc, jeśli musi przejść przejść skany bezpieczeństwa bez oceny, czy wyniki nie są fałszywie pozytywne, to zupełnie inny problem.

Answer 2

Być może trzeba zmienić domyślne ustawienia cookies być unikalne dla ciebie app

Spróbuj ustawić unikalną ścieżkę plików cookie:

<forms name="YourAppName" 
     path="/FormsAuth" ... /> 

http://msdn.microsoft.com/en-us/library/ms998310.aspx#paght000012_additionalconsiderations

Więcej czytanie ... http://msdn.microsoft.com/en-us/library/ms998258.aspx

Answer 3

Wygląda na to, że kontroluje to właściwość RegenerateExpiredSessionId. Ustaw tę wartość na true. Należy również zachować limit czasu i niską wartość, która jest maksymalnie akceptowalna dla użytkowników (na przykład 10-15 minut).