当用户基于默认的Forms身份验证方法登录时,服务器会创建一个包含加密数据的Cookie(使用Machine Key作为加密密钥)。
这意味着,如果有人找到/猜测/访问了服务器的Machine Key,那么他就可以登录到Web应用程序中。
我开发了一些应用程序,它们位于4个服务器上。因此,我在machine.config中为所有服务器硬编码了相同的Machine Key,并且不能使用“自动生成”模式。
- 是否有可能通过暴力破解Machine Key?
- 是否有其他方法?(我不想使用Windows和Passport)
- Forms身份验证票证是否足够安全?(例如可接受用于电子银行应用程序)