co to jest plik cookie ASPXAUTH?

Question

Podczas pracy z uwierzytelnianiem ASP.Net Forms natknąłem się na plik cookie .ASPXAUTH. Mam kilka pytań:

• Jaki jest cel tego pliku cookie?
• Jaka jest lokalizacja tego pliku cookie?

Answer 1

Plik cookie ASPXAUTH służy do określenia, czy użytkownik jest uwierzytelniony.

Co do lokalizacji pliku cookie, zależy to od przeglądarki. Jeśli używasz przeglądarki Firefox, możesz wyświetlić plik cookie, klikając Narzędzia -> Opcje -> Prywatność. Następnie przewiń w dół do domeny i rozwiń ją, aby zobaczyć plik cookie i jego wartość. Wartość jest szyfrowana za pomocą klucza komputera (znajdującego się w pliku machine.config lub web.config serwera), więc przeglądanie pliku cookie na kliencie nie dostarczy żadnych informacji. Można odszyfrować/zobaczyć wartość po stronie serwera przy użyciu:

HttpCookie authCookie = Request.Cookies[FormsAuthentication.FormsCookieName];//.ASPXAUTH 
FormsAuthenticationTicket authTicket = FormsAuthentication.Decrypt(authCookie.Value); 

gdzie authTicket ma następujące pola:

Stwierdzenie „ASPXAUTH jest w zasadzie wykorzystywane do utrzymania stanu sesji ASP.NET” jest nieprawidłowe. ASP.NET wydaje zupełnie inny plik cookie o nazwie ASP.NET_SessionId, aby śledzić stan sesji.

Answer 2

W rzeczywistości plik cookie .ASPXAUTH nie podaje dokładnych informacji o prawdziwym uwierzytelnieniu użytkownika. Gdy użytkownik wylogowuje się z aplikacji, plik cookie .ASPXAUTH jest usuwany z przeglądarki. Jeśli jednak wrócić na miejsce w krótkim okresie czasu (z limitem czasu forma auth cookie) i edytować nowe ASP.NET_SessionId cookie z poniższym:

• zmiana „name” z pola „ASP .NET_SessionId „na” .ASPXAUTH”
• zmiana«wartości»z 24 char sessionid do starego 448 char uwierzytelniania ciąg

Po odświeżeniu będzie można przyjąć tożsamość uwierzytelnionego użytkownika bez technicznie ponownego poświadczenia jeszcze raz. (ponownie zakładając, że robisz to w określonym limicie czasu przechowywanym w zaszyfrowanym ciągu znaków .ASPXAUTH)

Dobry opis blog zawiera bardziej szczegółowy opis problemu. Możliwym rozwiązaniem jest połączenie .ASPXAUTH z sesją ASP.

Answer 3

Jeśli interakcje użytkownika z adresem URL logowania HTML pozwoliły TSWPPserver ustalić tożsamość użytkownika, serwer zdalny POWINIEN wygenerować plik cookie identyfikujący użytkownika i umożliwiający uwierzytelnienie na serwerze. Zawartość pliku cookie POWINNA być podpisana i zaszyfrowana. Konkretna implementacja tego pliku cookie, w tym algorytmów podpisywania i szyfrowania, zależy od implementacji serwera TSWPP, ponieważ do analizy zawartości pliku cookie wymagany jest tylko serwer. Jeśli serwer zaimplementuje plik cookie, wówczas MUSI zostać zwrócony plik cookie w ładunku HTTP z typem treści "application/x-msts-webfeed-login".

http://msdn.microsoft.com/en-us/library/ee920427.aspx