asp.net - 如何在 ASP.NET session 中访问 TLS session ID？ (为了避免 BEAST cookie 被盗)

Question

This post指的是一种通过使用 TLS session ID 作为替代方法来避免 cookie 被盗的方法。

我如何在 ASP.NET 中访问 TLS session ID？

Answer 1

评论有点长，这就是答案:

查看已接受的答案，特别是此处的第一段:SSL and Load Balancing

nico 在您提供的链接中发布的内容是行不通的，除非在非常狭窄的用例中......并且需要更改服务器。

他甚至在他的“缺点”部分列出了真正的问题。即:

TLS session IDs must be exposed up the TLS and HTTP server-side stack (including any concentrators);

直到公开这些内容(我不相信它们应该公开)，您才能在 .Net 中访问它们。布鲁诺(在我链接到的问题中)指出了完全相同的情况。如果您有负载平衡器、NAT 或其他一些设备(如 SSL 集中器)，那么此信息甚至永远不会到达您的 Web 服务器...