fuerza de ID de sesión de ASP.NET

Dado que ambas implementaciones se basan en la seguridad de la cookie para proteger la sesión, eso significa que la comparación se basa principalmente en las cualidades de los valores de las cookies (lo que significa que si robas cualquiera de las cookies en las que estás).

Ambos valores son básicamente un valor cifrado contra una clave almacenada en el lado del servidor. Las sesiones utilizan un valor aleatorio cifrado contra la clave de la máquina, y las identidades de ASP.NET utilizan una colección de valores que describen la identidad de la sesión cifrada contra la clave de la máquina.

Las sesiones se basan en un mapa en memoria (o persistido en la base de datos) del ID de sesión descifrado a la información de la sesión, mientras que las identidades simplemente rehidratan la identidad de la sesión directamente del valor almacenado en la cookie.

Por un lado, Sesiones no es portátil porque se basa en un puntero para volver al valor en la memoria, por lo que si elimina ese puntero, la sesión está muerta. Por otro lado, realmente no se escala bien.

Desde una perspectiva puramente de seguridad, están más o menos a la par entre sí, pero las Sesiones fueron desaprobadas por una gran cantidad de razones no relacionadas con la seguridad.

Agregar la identidad de ASP.NET no debería ser un trabajo tan grande. Guía aquí .

La sesión no ha sido diseñada como un mecanismo de autorización. Tiene algunas características que lo hacen inadecuado, como usar el mismo identificador anterior y posterior a la autenticación, haciéndolo vulnerable a la reparación de la sesión . Además, es difícil verificar el estado de autorización para el acceso a la página, ya que cada página deberá tener implementadas sus propias comprobaciones manuales.

Habiendo dicho eso, algunos mecanismos de autorización en la antigua autenticación de formularios no eran perfectos. Por ejemplo, el método de cierre de sesión no borró el lado del servidor con el estado registrado :

  

Al llamar al método SignOut solo se eliminan los formularios de autenticación   Galleta. El servidor web no almacena autenticación válida y caducada   Entradas para la comparación posterior. Esto hace que su sitio sea vulnerable a una   ataque de repetición si un usuario malintencionado obtiene una autenticación de formularios válida   cookie.

No estoy seguro de si esto ya está solucionado en la nueva Identidad ASP.NET.