Warum akzeptiert ASP.NET extern erstellte Sitzungskennungen?

Question

Ich habe eine ASP.NET 3.5-Website, die den Standard-SQL-Mitgliedschaftsanbieter verwendet.

Die Anwendung muss IBM Rational AppScan weitergeben, bevor wir in Produktion gehen können.

Ich erhalte den Fehler:
Schweregrad: Hoch
Testtyp: Anwendung
Vulnerable URL: http://mytestserver/myapp/login.aspx
Remediation Aufgaben: nicht extern Sitzungsidentifikatoren

erstellt Akzeptieren

Was kann ich tun um das zu beheben?

Ich verwende SQL-Mitgliedschaftsanbieter. Ist das verwandt? Ich verwende auch die Standard-Login-Steuerelemente. Ich habe das "Remember Me" ausgeschaltet und versteckt.

Danke.

Answer 1

Dies ist keine Sicherheitslücke (und ich mag AppScan wegen seiner falschen Positivität nicht wirklich es - die Anzahl der Male, die ich musste erklären, CSRF-Cookies müssen nicht mit einer Sitzung auf meinem kleinen Open-Source-Projekt verknüpft werden wird nervig).

Alles, was in diesem Fall passieren wird, ist das erste Mal, dass alles im Sitzungszustand mit einer erstellten Sitzungskennung gespeichert wird. Eine neue Sitzung wird auf dem Server mit nichts geöffnet. Wenn Sie sich um eine Sitzungsfixierung sorgen, können Sie den Cookie nach der Authentifizierung löschen.

Aber mit Formularauthentifizierung werden die Authentifizierungsdetails nicht in der Sitzung gehalten, und so ist die Fixierung überhaupt kein Problem.

Ehrlich gesagt, wenn Sie müssen Sicherheitsüberprüfungen passieren, ohne dass jemand auswertet, wenn die Ergebnisse nicht falsch positive sind, dann ist das ein ganz anderes Problem.

Answer 2

Möglicherweise müssen Sie die Einstellungen Standard-Cookie ändern eindeutig sein, um Sie app

Versuchen Sie einen einzigartigen Cookie-Pfad festlegen:

<forms name="YourAppName" 
     path="/FormsAuth" ... /> 

http://msdn.microsoft.com/en-us/library/ms998310.aspx#paght000012_additionalconsiderations

Mehr lesen ... http://msdn.microsoft.com/en-us/library/ms998258.aspx

Answer 3

Es würde scheinen RegenerateExpiredSessionId Eigenschaft steuert dies. Setzen Sie es auf wahr. Halten Sie die Auszeit auch auf einen niedrigen Wert, der von den Benutzern am besten akzeptiert wird (z. B. 10 bis 15 Minuten).