ASP.NETフォーム認証の脆弱性

@ Slaumaのリンク応答（hereを含む）が@ reach4thelasersによって書かれたことに襲われたとき、私はこのSO questionを読んでいました。これは、ASP.NETのフォーム認証を広く開いて、30分ほどでリモートマシンのキーを収集する方法のブログ記事です。ASP.NETフォーム認証の脆弱性

これは、これが特定のことをしなかった場合にのみ可能だと述べたブログ投稿に対するいくつかの回答がありましたが、その特定のものが何であったかについてはっきりしていませんでした（カスタムエラーページに関するものですが、エラーページにヒットしたようではありませんでした）。また、MSにはこうした攻撃を避けるための推奨事項があると述べられていますが、この勧告との関連はありませんでした。

最初に、上記のような悪用を防ぐために、ASP.NETフォーム認証システムを開発する際に、必要なことを誰かが明確に説明することができますか？

第2に、特定のベストプラクティス（既定では実装されていない）が軽減または防止する、ASP.NETフォーム認証で他によく知られているエクスプロイトがありますか？私は財務データを持つ公開サイトを構築しているので、これは私にとって深刻な問題です。

出典

2013-04-13 Jeremy Holovacs

私はあなたがそれについて話すと信じています：http://stackoverflow.com/questions/3720720/how-serious-is-this-new-asp-net-security-vulnerability-and-how-can-i-workaround – Aristos

私からの同様の質問はhttp://stackoverflow.com/questions/2498599/can-some-hacker-steal-the-cookie-from-a-user-and-login-with-that-name-on- a-web-s – Aristos

優れています。リンクありがとう。 –

これは、すでに長い時間前に対処されました：http://technet.microsoft.com/en-us/security/bulletin/MS10-070

スコット区は、このSO質問は問題Is it vulnerable to ASP Padding oracle

のいくつかの影響をカバーし、私はそれを言う時、それについてhttp://weblogs.asp.net/scottgu/archive/2010/09/28/asp-net-security-update-now-available.aspx

を書きました主な欠点は、古いフレームワーク、古いパッチレベル、大規模な組織の変更管理ボードが逆に見るようなもので、プロダクションアプリを残すよりも、フレームワークのパッチやアップグレードがあまり危険ではないということです。彼らは一般的に、パッチ&の更新が既存のコードの脆弱性の可能性を上回ることを恐れています。

出典

2013-04-13 12:26:52 MatthewMartin

すばらしい。私はブログ記事のコメントで少しばかり誤解されていたようだ...彼らはこれを防ぐために行動を開発者が取らなければならないと示唆しているようだった。 –

数年前、私は3.5のリリースの頃にASP.NET 1.0のインストールを見ました - これは、パッチの病的恐怖から起こったことがあります。そのサイトにはまだ問題があるかもしれませんが、そこにさえ、Windowsのアップデートをオフにしておかなければなりません。このアップデートは、ほとんどの種類のパッチを提供します。私のサーバー管理者がフレームワークを更新したり更新したりしたいと言うと、私はそれらに "してください！その機能がまだ同じ働きをしていることを確認している作業を意味しています。 – MatthewMartin

私はここに本を書くことはできませんが、私は非常に大きな組織でCCBの立場をより明確に説明したいと思います。私は非常に大規模な組織（27K +）に勤務しており、前進してパッチを適用するのが遅いです。しかし、それは主に、2人の手に数えることができるよりも多くの俳優が関わっているからです。大規模な組織のなかには、「やってみればうまくいきます - それができなければ、それに対処します」というものはありません。私はちょうどそのように動作しません。したがって、まず下位環境をアップグレードし、それらを完全にテストしてから、ピーク時の更新をスケジュールします。 –

ASP.NETフォーム認証の脆弱性

答えて

関連する問題