Contrassegnare cookie come "sicuro" in forme auth quando il sito è un servizio di bilanciamento del carico che serve il CERT TLS

Question

Recentemente ho avuto un po 'di un problema con un sito su AppHarbor che ho scritto sul loro forum di supporto: Request.IsSecureConnection always returns false

In breve, poiché il bilanciamento del carico decrittografa il traffico HTTPS prima che raggiunga l'app Web, attributi come Request.IsSecureConnection e la configurazione come requireSSL su auth di moduli non si comportano come previsto. In effetti, in quest'ultimo caso, non è nemmeno possibile autenticare l'app in quanto la richiesta non viene inoltrata tramite HTTPS.

E 'l'autenticazione forme che è particolarmente problematico perché senza di essa, i cookie non sono impostati su "sicuro" e vengono inviati su HTTP se il sito è accessibile da nome di dominio solo e implicitamente serve lo schema URL insicuro.

Quale sarebbe la soluzione migliore per questo? Preferirei sfruttare la configurazione di sicurezza nativa, qualcuno può vedere un modo per sovrascrivere l'implementazione che controlla se la connessione è sicura? E 'abbastanza facile per rilevare se la richiesta è stata servita su HTTPS (sia basato sulla Request.Url.Scheme o l'intestazione X_FORWARDED_FOR), è solo una questione di legare ordinatamente questo.

Answer 1

disattivare l'impostazione RequireSSL e aggiungere il seguente codice per la vostra applicazione . Questo dovrebbe proteggere i cookie di autenticazione/sessione.

void Application_EndRequest(object sender, EventArgs e) 
{ 
    if (Response.Cookies.Count > 0) 
    { 
     foreach (string s in Response.Cookies.AllKeys) 
     { 
      if (s == FormsAuthentication.FormsCookieName || s.ToLower() == "asp.net_sessionid") 
      { 
       Response.Cookies[s].Secure = true; 
      } 
     } 
    } 
} 

Answer 2

In alternativa, è possibile utilizzare il modulo riscrittura URL per ingannare ASP.NET a pensare che è in esecuzione in un contesto di HTTPS, e lasciare le bandiere requireSSL in atto (che significa che i cookie vengono impostati come sicuro - e disponibile solo se si davvero eseguite in HTTPS)

È possibile impostare il seguente nel web.config:

<rewrite> 
     <rules> 
      <rule name="HTTPS_AlwaysOn" patternSyntax="Wildcard"> 
       <match url="*" /> 
       <serverVariables> 
        <set name="HTTPS" value="on" /> 
       </serverVariables> 
       <action type="None" /> 
      </rule> 
     </rules> 
    </rewrite> 

Avrete anche bisogno di aggiungere HTTPS per l'elenco dei allowedServerVariables in l'applicationHost.config (o tramite la riscrittura URL config)

 <rewrite> 
      <allowedServerVariables> 
       <add name="HTTPS" /> 
      </allowedServerVariables> 
     </rewrite> 

Con grazie a Levi Broderick sulla squadra ASP.NET che mi ha mandato nella direzione giusta a questa soluzione!