存储为 HttpCookie 的 ViewStateUserKey 是否安全？答案

【问题标题】：ViewStateUserKey stored as a HttpCookie is secure or not?存储为 HttpCookie 的 ViewStateUserKey 是否安全？
【发布时间】：2013-05-04 06:50:54
【问题描述】：

此链接 (http://software-security.sans.org/developer-how-to/developer-guide-csrf) 告诉我，从 Visual Studio 2012 开始，Microsoft 为新的 Web 表单应用程序项目添加了内置的跨站点请求伪造 (CSRF) 保护。将新的 ASP .NET Web 窗体应用程序添加到您的解决方案并查看 Site.Master 代码隐藏页面。此解决方案将对所有从 Site.Master 页面继承的内容页面应用 CSRF 保护。

Visual Studio 2012 自动生成的代码会生成一个随机 GUID，然后将该 GUID 存储到一个 HttpCookie 中，然后由不同的网页使用。在每个页面上，此 GUID 都分配给 Page.ViewStateUserKey 以便 ViewStateUserKey 可以保护 CSRF 攻击。条件是应用程序必须使用 SSL。

为什么 cookie 不需要加密？我知道应用需要 SSL。但是 cookie 中存储纯文本的 GUID 安全性不好，是吗？

【问题讨论】：

标签： asp.net security

【解决方案1】：

这是一种非常标准的缓解 CSRF 攻击的方法。您在 cookie 中设置一个值并通过 POST 数据确认该值。这背后的原因是，虽然很容易制作一个请求以发布到具有任何值的任何服务器，但获取任何 cookie 并不容易。 same origin policy 将阻止您通过 JavaScript 执行此操作，除非您与要发送到的页面位于同一域中。如果您的 cookie 没有使用 HttpOnly 设置并且目标网站上存在 XSS 漏洞，那么这可能只会出现在攻击中，在这种情况下，无论如何，所有的赌注都是关闭的。同样，同源策略将阻止您在 iframe 中加载目标表单并通过 JavaScript 访问隐藏字段。

这里的安全值来自无法获取（或设置）另一个域上的秘密 cookie 值，该值会随用户请求自动发送到该域。同样，整个应用程序的安全性可能非常依赖于此。如果没有这些同源保护，您的 cookie 很容易被暴露，您的会话很容易被hijack-able。

进行 CSRF 保护的常用方法实际上是使用会话 ID 作为 CSRF 令牌。这是一个存储在 cookie 中的随机值，所以它工作得很好。我相信在 ASP.NET 中这样做的问题在于，如果您没有使用会话，或者您尚未在会话中设置任何数据（例如，在用户登录之前），会话 ID 将保留改变，这是不好的。随机 GUID 的工作原理相同。

SSL 在这里基本上是不相关的。如果攻击者可以访问您的 cookie，那么他无论如何都拥有冒充您所需的一切，从而无需 CSRF。值得注意的是，通过 HTTPS 传递的 cookie 是加密的，因为它们是 HTTP 标头的一部分。

【讨论】：

那么，“存储为 HttpCookie 的 ViewStateUserKey 是否安全”问题的答案是安全的。这是你的答案吗？库存。

【解决方案2】：

cookie 不需要加密（除了 SSL），因为它只需要对可能试图使用 CSRF 攻击用户的第三方保密。因为浏览器不会将 cookie 发送到设置 cookie 的域之外的站点，所以服务器需要在请求中提供 cookie 来验证是用户发出请求，而不是第三方。由于第三方无法为自己的域以外的域设置 cookie，并且 cookie 不会在其域之外提交给他们，因此如果用户是 CSRF 攻击的受害者，则用户无法提交所需的 cookie。

如果您仍然感兴趣，这个问题可能有助于更详细地解释这一点：How is using Synchronizer Token Pattern to prevent CSRF safe?

【讨论】：