0

Tem como proteger aquele cookie que fica evidente ao fazer login em um site que usa o asp.net membership ? Sei que basta copiar ele pra que "clone" a sessão de login e desse modo fica muito vulnerável principalmente a ataques man in the middle .

A única solução é usar SSL ?

1 Resposta 1

1

Para qualquer Cookie que você precise criar, independentemente de linguagem/plataforma, é altamente recomendável que seja definida a flag HttpOnly que te ajuda a previnir manipulações do seu Cookie através de JavaScript, e consequentemente ataques XSS, além da flag Secure, que a própria W3C padronizou como uma forma de evitar que sejam aceitas requisições com Cookies através de canais inseguros.

De fato, se alguém conseguir de alguma forma gerar o conteúdo exato do seu Cookie de autenticação, ele pode muito bem alterar o Cookie no browser e utilizá-lo. Mas temos que considerar que o próprio Asp.Net já cuida bem da parte de encriptar seus Cookies através da configuração do machineKey, o que torna essa prática bem improvável.

Por outro lado, o usuário nem precisaria gerar o conteúdo se for facilitado o roubo dessas informações. Com a flag HttpOnly, você impede que scripts maliciosos em JavaScript consigam ler seus Cookies e a flag Secure garante que a aplicação só irá entender o conteúdo se o mesmo estiver trafegando por SSL, que é obrigatório hoje em dia para evitar tráfego de informações em texto puro, que poderiam ser facilmente lidas por ataques man-in-the-middle.

Em Asp.Net, as configurações podem ser feitas através de configurações no Web.config com o elemento httpCookies:

<httpCookies httpOnlyCookies="true" requireSSL="true" />

Para qualquer Cookie, você consegue setar programaticamente:

HttpCookie myCookie = new HttpCookie("myCookie");
myCookie.HttpOnly = true;
Response.AppendCookie(myCookie);

Especificamente no caso do Cookie de autenticação, é possível forçar a flag secure no elemento forms:

<authentication mode="Forms">
    <forms cookieless="UseCookies" requireSSL="true" />
</authentication>
2
  • Diego , tentei usar o requireSSL e recebi o seguinte erro " O aplicativo está configurado para emitir cookies seguros. Esses cookies requerem que o navegador emita a solicitação sobre SSL (protocolo https). No entanto, a solicitação atual não é sobre SSL. ", vc sabe me dizer como implemento o SSL ?
    – John Diego
    Commented 2/02/2016 às 3:53
  • 1
    @DiegoValadares você precisa contratar um certificado SSL e configurá-lo no seu servidor web para que ele possa servir as respostas como https. Para ambientes de desenvolvimento, você consegue instalar certificados próprios apenas para testar a sua instalação. No IIS existe uma configuração específica para self-signed certificates Commented 2/02/2016 às 11:26

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .