【发布时间】：2011-10-06 16:31:51
【问题描述】：
我希望部署 SSL 以防止对我们网站的 cookie 重放攻击。
该站点正在使用 .NET 表单身份验证。我是否只需要为登录页面启用 SSL，还是表单身份验证后面的每个页面都需要安全？
谢谢
【问题讨论】：
标签： asp.net cookies ssl forms-authentication
【发布时间】：2011-10-06 16:31:51
【问题描述】：
您需要为指示浏览器发送身份验证票证 cookie 的每个页面启用 SSL。默认情况下，这意味着您网站上的每个页面，尽管在将 cookie 写入浏览器时，您可以指示它仅通过 HTTPS 发送它或将其限制为某些路径。
但总的来说，这意味着 SSL 保护您网站上的每个页面，而不仅仅是您的登录页面。
【讨论】：
.Net 网站transfer non only the viewstate but any cookies back to the server 回发。这会影响您的安全性，因为使用 firesheep（或类似工具）的人可以轻松获取身份验证 cookie，而不是在登录时，而是在用户通过按钮按下或 ajax 事件向应用程序的多个页面回发时。
如果您可以访问 IIS，您不仅可以启用 SSL，but force it。
【讨论】：