MVC에서 ASPXAUTH 쿠키의 보안 플래그

Question

ASP.NET MVC3을 사용하여 개발 된 응용 프로그램이 있습니다. 침투 테스트는 IBM AppScan 도구로 수행되었습니다.

문제가보고되었으며 ASPXAUTH는 안전하지 않습니다. 브라우저의 개발자 도구를 확인할 때 Secure 플래그가있는 쿠키가 있습니다. 그러나 ASPXAUTH는 그들 중 하나가 아니 었습니다.

은 이미 내가 Web.Config 파일의 코드 라인 아래에 포함했다.

<httpCookies requireSSL="true"/> 

참고 : 우리는 로그인에 대한 폼 인증을 사용하고 있지 않습니다. 우리는 Signle Sign-On Mechanism을 사용하고 있습니다.

안전한 것으로 ASPXAUTH를 표시하는 올바른 방법은 무엇입니까?

Answer 1

아래 코드를 Global.asax.cs 파일에 추가하십시오.

protected void Application_EndRequest(object sender, EventArgs e) 
     { 

       if (Response.Cookies.Count > 0) 
       { 
        foreach (string s in Response.Cookies.AllKeys) 
        { 
         Response.Cookies[s].Secure = true; 
        } 
       } 
      } 
     }