słabnącym ciasteczka jako „bezpieczne” w formach auth gdy strona jest za równoważenia obciążenia obsługującego cert TLS

Question

Ostatnio miałem trochę problemów z miejscem na AppHarbor którym pisałem o ich forach wsparcia: Request.IsSecureConnection always returns false

W skrócie, ponieważ system równoważenia obciążenia deszyfruje ruch HTTPS, zanim trafi on do aplikacji internetowej, atrybuty takie jak Request.IsSecureConnection i konfiguracja taka jak requireSSL w formularzu auth nie zachowuje się zgodnie z oczekiwaniami. W rzeczywistości w tym drugim przypadku nie można nawet uwierzytelnić, ponieważ aplikacja uważa, że ​​żądanie nie przychodzi za pośrednictwem protokołu HTTPS.

Jest to forma auth, która jest szczególnie problematyczna, ponieważ bez niej pliki cookie nie są ustawione na "bezpieczne" i są wysyłane za pośrednictwem protokołu HTTP, jeśli witryna jest dostępna tylko według nazwy domeny i domyślnie wyświetla niezabezpieczony schemat URL.

Jaki byłby najlepszy sposób obejścia tego problemu? Wolałbym wykorzystać natywną konfigurację zabezpieczeń, czy ktoś może zobaczyć sposób na zastąpienie implementacji, która sprawdza, czy połączenie jest bezpieczne? Jest to dość łatwe do wykrycia, czy wniosek został doręczony przez HTTPS (zarówno na podstawie Request.Url.Scheme lub nagłówku X_FORWARDED_FOR), to tylko kwestia starannie wiążąc to z.

Answer 1

wyłączyć ustawienie requiressl i dodaj następujący kod do swojej aplikacji . To powinno zabezpieczyć twoje pliki cookie uwierzytelniania/sesji.

void Application_EndRequest(object sender, EventArgs e) 
{ 
    if (Response.Cookies.Count > 0) 
    { 
     foreach (string s in Response.Cookies.AllKeys) 
     { 
      if (s == FormsAuthentication.FormsCookieName || s.ToLower() == "asp.net_sessionid") 
      { 
       Response.Cookies[s].Secure = true; 
      } 
     } 
    } 
} 

Answer 2

Alternatywnie, można użyć modułu URL przepisywania oszukać ASP.NET do myślenia, że ​​jest uruchomiony pod kontekście HTTPS i opuścić flagi requiressl w miejscu (co oznacza, że ​​ciasteczka będą ustawione jako bezpieczne - i dostępny tylko wtedy, gdy naprawdę są uruchomione w HTTPS)

można ustawić następujące w Twojej web.config:

<rewrite> 
     <rules> 
      <rule name="HTTPS_AlwaysOn" patternSyntax="Wildcard"> 
       <match url="*" /> 
       <serverVariables> 
        <set name="HTTPS" value="on" /> 
       </serverVariables> 
       <action type="None" /> 
      </rule> 
     </rules> 
    </rewrite> 

trzeba także dodać HTTPS do listy allowedServerVariables w applicationHost.config (lub przez przepisać URL config)

 <rewrite> 
      <allowedServerVariables> 
       <add name="HTTPS" /> 
      </allowedServerVariables> 
     </rewrite> 

Z podziękowaniami dla Levi Broderick w zespole ASP.NET, który wysłał mnie we właściwym kierunku, aby to rozwiązanie!