在 Windows 2003 上生成的 GUID 是否可以安全地用作会话 ID？

Question

我的 Web 应用程序仅通过 SSL 运行，并在每个用户使用用户名和密码成功登录后为他们设置一个限时 cookie。该系统最大的弱点是损害现有用户的 cookie。还有两个猜测会话 ID GUID。

我知道第一个弱点的机制，但我想知道我有多少需要担心攻击者根据他们之前通过登录他们设置的帐户获得的 GUID 猜测会话 ID GUID 的机会?本例中的 Web 服务器是 Windows 2003，GUID 是使用 .Net 3.5 生成的。

Answer 1

GUID 的目的不是为了加密安全，只是为了唯一。相当多的格式是可预测的 - 48 位 MAC 地址，如果您知道它是如何生成的，那么时间戳在某种程度上是可以预测的，另外一些位用于处理时间戳冲突。技术老练的攻击者很有可能对 GUID 进行逆向工程。

您确实需要cryptographically secure PRNG 来获取安全会话密钥。

Answer 2

.Net 3.5 GUID 几乎无法猜测。 GUID 的绝对数量是巨大的——GUID 比宇宙中沙子上的颗粒还要多，等等。它们并没有严格地“保证”是唯一的（尽管显然SQL NEWID 保证是唯一的）

如果你想自己测试一下，生成几亿，然后找到重复项（你不会找到）。