セキュアと非セキュアでの認証共有

Question

私が作業しているサイトでは、マネージャがログインできるようにしたいのですが、httpやhttpsでログインしても大丈夫です。別のSO質問（how can I share an asp.net session between http and https）に基づいて、私はクッキーにsecure = falseを設定するとこれが可能であると考えました。これに追加するには、サイトの安全な部分にサブドメインを使用します。したがって、httpsではsite.comを使用し、httpsではsecure.site.comを使用します。そこで、web.configで認証用のドメインを設定しようとしました。

<authentication mode="Forms"> 
    <forms loginUrl="/account/login" 
    protection="All" timeout="30" name=".ASPXAUTH" path="/" 
    requireSSL="false" slidingExpiration="true" defaultUrl="/" 
    cookieless="UseDeviceProfile" domain="site.com" 
    enableCrossAppRedirects="false" /> 
</authentication> 

私はこれをすべて間違っていますか？私はいくつかのセキュリティ上の懸念があることを理解しており、要求があったときにそれらに対処するつもりでした。私はちょうどユーザーが一度ログインして、httpとhttpsを介して記憶されるようにしたい。ありがとう。

Answer 1

あなたのweb.configに間違ったドメインがあると思います。あなたは、あなたが例えばssl.site.comとno-ssl.site.comドメインの両方を生きるために、フォームの認証クッキーを許可している

domain=".site.com" 

にそれを変更する必要があります。

すべてのセキュリティは、あなたのソリューション全体でhttps：//で始まります。そうしないと、中間者の攻撃（Webプロキシがあなたのソリューションに不適切なコンテンツを挿入する可能性があります。ただ、問題は解決し、HTTPSにすべてをリダイレクト