Spécification de la clé machine dans le fichier web.config

Question

Existe-t-il des risques de sécurité lors de la spécification de la clé machine dans le fichier web.config d'une batterie de serveurs Web?

Answer 1

Si quelqu'un peut lire la clé de la machine qui peut poser un problème. Un exemple clair est qu'il est utilisé pour vérifier que viewstate n'a pas été falsifié. Toute personne qui a la clé peut contourner cela.

Voir http://msdn.microsoft.com/en-us/library/dtkwfdky.aspx#, il explique comment le crypter.

Oh, et pire utilise l'authentification des formulaires - voir Uses for MachineKey in ASP.NET

Cela dit, il est un problème compréhensible quand il y a une clé. Si vous l'avez, c'est un problème. Si vous essayez de protéger, eh bien, vous avez besoin d'une autre clé (même si elle est cachée). En outre, quelqu'un l'obtient là en premier lieu.