.net - ServiceStack session ID 是否足够安全？

Question

据我了解，在使用 ServiceStack 的 Authentication 时您通常会在 session 开始时进行身份验证，然后在服务器端将 session 标记为已验证。后续的 Web 服务请求将使用该 session ID，不需要重新进行身份验证。 (如果我到目前为止错了，请纠正我)。

使用 SessionExtensions.cs 中的 Guid.NewGuid() 执行新 session ID 的生成, 其中 doesn't generate cryptographically fantastic values .是否有任何理由不改用加密安全值，例如使用 RNGCryptoServiceProvider ?

更新:

实际上，在进一步考虑之后，ASP.NET 不会使用其 session ID 来确认请求者已通过身份验证。它使用一个 FormsAuthenticationTicket，它已经用机器 key 加密和散列(ASP.NET 2.0 进程的 here's a nice description)。

我不是安全专家，所以如果您要比较 ASP.NET Forms Auth 提供的安全级别和随机值提供的安全级别，我不知道这有什么含义。我想这一切都归结为 key 和数据长度......但对表单例份验证进行暴力攻击所需的时间可能要高得多，因为它不需要只尝试一整堆随机数？

Answer 1

右 ServiceStack使用 Authenticating + Set session cookie 的标准 HTTP 方法为后续请求设置经过身份验证的 session ，这是所有 Web 框架中的常用方法。

虽然我从来没有听说过 .NET 中的漏洞能够预测和逆向工程 GUID，it appears ASP.NET 自己的 SessionId 不如 Guid 强(2^120 vs 2^128 位熵)。但鉴于它不是真正随机的，我们将在下一个版本中更改 ServiceStack 的实现以使用真正随机的标识符。