Как получить доступ к идентификатору сеанса TLS в сеансе ASP.NET? (Чтобы избежать кражи файлов cookie BEAST) - PullRequest
0 голосов
/ 23 октября 2011

Этот пост относится к способу предотвращения кражи файлов cookie с использованием идентификатора сеанса TLS в качестве альтернативы.

Как получить доступ к идентификатору сеанса TLS в ASP.NET?

1 Ответ

1 голос
/ 23 октября 2011

Это было немного длинно для комментариев и действительно является ответом:

Просмотрите принятый ответ, в частности первый абзац здесь: SSL и балансировка нагрузки

То, что Нико разместил в предоставленной вами ссылке, просто не работает, за исключением очень узкого варианта использования ... и требует изменения сервера.

Он даже перечисляет реальную проблему в своем разделе «недостатки».А именно:

Идентификаторы сеанса TLS должны быть доступны для стека на стороне сервера TLS и HTTP (включая любые концентраторы);

До тех пор, пока они не будут открыты,не будучи уверенным, что они когда-либо будут, вы не получите доступ к ним в .Net.Бруно указал (в вопросе, с которым я связан) ту же самую ситуацию.Если у вас есть балансировщик нагрузки, NAT или другое устройство, например концентратор SSL, эта информация никогда не попадет даже на ваш веб-сервер ...

...