asp.net - ペネトレーション テスターは、.ASPXAUTH Cookie は安全ではなく、セッション データを表示していると言っていますか?

Question

.ASPXAUTH はユーザー認証用だと思いましたか? この Cookie が本当にセキュリティ リスクであるかどうか、および/またはセッション情報が含まれているかどうかを誰でも確認できますか? それは使用されると想定されていますか、それともデバッグ用のものですか?

Answer 1

フォーム認証のセキュリティに関係するコメントに出くわしたと思います。ここで詳細情報を見つけることができます: h ttp://visualstudiomagazine.com/articles/2010/09/14/aspnet-security-hack.aspx

つまり、巧妙なハッカーは、Cookie の暗号化に使用されたマシン キーを発見し、独自の偽造認証 Cookie を作成できるということです。