Защищено ли членство в ASP.NET от Firesheep?

Question

У меня сложилось впечатление, что членство в ASP.NET по умолчанию шифрует его cookie.

Достаточно ли безопасно предположить, что членство в ASP.NET защищает от перехвата сеанса (ala Firesheep)?

Answer 1

Членство в ASP.NET использует тот же механизм, что и любой другой сайт, и абсолютно уязвимо для атаки Firesheep.Сам cookie не может быть зашифрован таким образом, чтобы предотвратить его захват.Вся связь с сервером должна быть зашифрована для защиты от перехвата сеанса с использованием беспроводного шифрования SSL или WEP.

Answer 2

Только если весь сеанс работает по HTTPS.

Firesheep не заботится о содержимом файла cookie; все, что нужно сделать, это скопировать cookie в браузере злоумышленника.

Пока файл cookie отправляется в виде открытого текста (в отличие от HTTPS или WPA), вы по-прежнему уязвимы.

Answer 3

Файл cookie зашифрован, но это не мешает тому, кто сам получает файл cookie, действовать как вы.