Jak zabezpieczyć token .ASPXAUTH

Question

Jak zabezpieczyć token .ASPXAUTH, aby był wysyłany przez SSL.

Answer 1

Bezpośrednio z msdn docs:

Aby zapobiec cookie uwierzytelniania formularzy przed schwytany i naruszony podczas przekraczania sieci, upewnij się, że używasz SSL z wszystkie strony, które wymagają uwierzytelnionego dostępu i ograniczyć formularze biletów uwierzytelniania do kanałów SSL, ustawiając requireSSL="true" na element <forms>.

Aby ograniczyć formularze cookie uwierzytelniania do kanałów SSL ustawiony requireSSL="true" na elemencie <forms>, jak pokazano w poniższym kodzie:

<forms loginUrl="Secure\Login.aspx" requireSSL="true" ... />

Ustawiając requireSSL="true" można ustawić bezpieczne właściwości pliku cookie, który określa, czy przeglądarka powinna wyślij plik cookie na serwer . Po ustawieniu bezpiecznej właściwości plik cookie jest wysyłany przez przeglądarkę tylko do bezpiecznej strony, która jest żądana za pomocą adresu URL HTTPS.

Uwaga:, że podczas korzystania requireSSL="true" plik cookie uwierzytelniania jest wysyłany tylko do stron żądanych przez SSL. Więc jeśli trafisz na stronę przez HTTP (nie-SSL), może się wydawać, że nie jesteś zalogowany. Ten artykuł mówi o problemie i proponuje rozwiązanie, które dotyczy strony SharePoint (ale teoria jest zbywalna): Securing the authentication cookie for mixed SSL SharePoint sites