Gestion de session utilisateur dans asp.net

Question

mon client a fait réaliser un audit de sécurité d'un système que j'ai construit pour lui. Ils veulent que cela fonctionne de telle sorte que si un utilisateur se connecte via Internet Explorer, que lorsqu'il se connecte via Firefox sur la même machine (ou via IE sur une autre machine), il tue la première session. Essentiellement, cela signifie stocker des informations de session dans la base de données que j'imagine, puis définir un indicateur actif/inactif par rapport à l'ID utilisateur, l'identifiant de session, le statut si userid a une session active, puis tuer la première session et créer une nouvelle session .

Y at-il construit des mécanismes pour ce faire avec le framework .NET ou quelqu'un peut me diriger dans la direction de quelques tutoriels etc.

Un grand merci,

Ed

Answer 1

Tout d'abord, ajouter un champ à la table de vos utilisateurs pour stocker l'ID de session actuellement utilisé. Cet identifiant est facilement accessible depuis votre code. Lorsque l'utilisateur se connecte, stockez cet ID.

À chaque demande de page, vérifiez que l'ID de session actuel correspond à ce qui était stocké dans votre table utilisateur. Si elle ne correspond pas, effacez les données de session en cours et renvoyez l'utilisateur à l'écran de connexion.

Cela n'empêchera pas l'utilisateur d'utiliser plusieurs onglets dans IE 7 car IE7 utilise la même instance pour chaque onglet; mais cela les empêchera d'utiliser plusieurs instances de navigateur.

La raison pour laquelle cela fonctionne est que chaque navigateur contient son propre espace de cookie. Les sessions sont appariées côté serveur en fonction d'une valeur de cookie qui stocke l'identifiant de session et est renvoyée au serveur à chaque requête. Incidemment, ce n'est pas un moyen très efficace d'éliminer le piratage de session; ce que cela ressemble à la vérification de sécurité essaie d'empêcher. Si vous avez besoin de le faire, mettez à jour votre question et j'irai plus loin.

MISE À JOUR

Une façon d'arrêter le vol de session est de stocker un nombre aléatoire dans la session et comme un cookie sur le navigateur. Lorsque la requête suivante arrive, vérifiez que les valeurs de cookie et de session correspondent. Si ce n'est pas le cas, réinitialisez la variable d'ID de session dans votre table utilisateur. Cela forcera toutes les sessions à se reconnecter. Pour chaque requête de page (post/get), créez une nouvelle valeur aléatoire. L'inconvénient est que les pages ne peuvent pas être mises en signet; mais c'est probablement acceptable.

Answer 2

Je blogged sur la façon dont je gère cela. Fondamentalement, l'idée est que nous créons un cookie non persistant, qui a un Guid.

Ensuite, nous stockons ce lié à l'userId dans un endroit sur le serveur (App Cache, DB etc ...). Nous avons ensuite un poller qui frappe le serveur toutes les deux minutes, et si le cookie ne correspond pas à la valeur, nous déconnecter l'utilisateur.