Czy identyfikatory GUID generowane w systemie Windows 2003 są bezpieczne do użycia jako identyfikatory sesji?

Question

Moja aplikacja internetowa działa tylko za pośrednictwem protokołu SSL i ustawia plik cookie z ograniczeniami czasowymi dla każdego użytkownika po pomyślnym zalogowaniu przy użyciu nazwy użytkownika i hasła. Największe słabości w systemie stanowią zagrożenie dla pliku cookie istniejącego użytkownika. I dwa zgadywanie identyfikatora GUID sesji.

Znam mechanizmy na pierwszą słabość, ale zastanawiam się, jak bardzo muszę się martwić o szansę, aby atakujący odgadł identyfikator GUID sesji na podstawie identyfikatora GUID, który wcześniej uzyskali, logując się na konto, które ustawili w górę? Serwer internetowy w tym przypadku to Windows 2003, a identyfikatory GUID są generowane z .Net 3.5.

Answer 1

Identyfikatory GUID nie mają być kryptograficznie bezpieczne, tylko unikatowe. Dość dużo formatu jest przewidywalne - 48-bitowy adres MAC, znacznik czasu, który jest w pewnym stopniu przewidywalny, jeśli wiesz, jak jest generowany i kilka innych bitów do radzenia sobie z kolizjami znacznika czasu. Zaawansowany technicznie atakujący ma duże szanse na inżynierię odwrotną GUID.

Naprawdę potrzebujesz cryptographically secure PRNG dla bezpiecznego klucza sesji.

Answer 2

.NET 3.5 Identyfikatory GUID są praktycznie niemożliwe do odgadnięcia. Sama liczba identyfikatorów GUID jest olbrzymia - jest więcej identyfikatorów GUID niż ziarn na piasku we wszechświecie itp. Nie są one ściśle "gwarantowane" jako unikatowe (chociaż najwyraźniej gwarantowane jest SQL NEWID)

Jeśli chcesz przetestować to dla siebie, wygenerować kilkaset milionów, a następnie znaleźć duplikaty (nie znajdziesz żadnych).