byte[] buffer3 = new byte[buffer2.Length + buffer1.Length];
Buffer.BlockCopy(buffer1, 0, buffer3, 0, buffer1.Length);
Buffer.BlockCopy(buffer2, 0, buffer3, buffer1.Length, buffer2.Length);
if (FormsAuthentication._Protection == FormsProtectionEnum.Validation)
{
return MachineKey.ByteArrayToHexString(buffer3, 0);
}
buffer1 = buffer3;
}
buffer1 = MachineKey.EncryptOrDecryptData(true, buffer1, null, 0, buffer1.Length);
return MachineKey.ByteArrayToHexString(buffer1, buffer1.Length);
}
看到了MachineKey这个词，终于松了一口气。看来加解密过程是与服务器的参数有关系。也就是说，服务器上有自己的密钥，只有用这个密钥才能进行Cookie的加解密。如果不知道这个密钥，别人是无法伪造Cookie的。
看来Cookie还是安全的，在你的电脑没有被入侵的前提下。与其他任何信息一样，所需注意的仅仅是网络传输中的安全性了。
Cookie的这个值和SessionID一样，都是一旦被猜中就可能引发安全问题。但又与SessionID有区别，因为SessionID总是短暂的，而Cookie的值却有可能是永远有效的。Cookie值的长度也让我们稍稍放了一点心。
还有一个问题不容忽视。虽然Cookie的值的生成与具体的时间有关，也就是我注销后再次登陆所生成的Cookie是不一样的，但是一个合法的 Cookie值是永久有效的，不受是否改变密码及时间的影响。也就是说，我上一次生成的Cookie在我注销以后拿到另一台电脑上仍然可以用，只要服务器的MachineKey不变。的确是个安全隐患。我们也只能说：“Cookie的值很长，要穷举到一个有效的Cookie在有生之年是办不到的”来找一些安慰。密码可以通过频繁的更改来进一步减小穷举到的可能性，但合法的Cookie却无法更改。密码是唯一的，但合法的Cookie值却不是唯一的。这一切总让人觉得不太放心。
也许担心是多余的，因为电子签名、证书都是建立在“穷举要付出很大代价”的基础上的，要是考虑“碰巧被穷举到”的话，安全就不复存在了。相信在一般的安全领域，Forms生成的Cookie的安全级别还是足够的。
放心地去用吧！（又一篇毫无价值的文章，当你没看过好了）
|
客服电话
APP下载
官方微信
请发表评论