asp.net "Remember Me" cookie

Question

he implementado recuérdame opción en mi formulario web asp.net utilizando esto,

protected void LBtnSubmit_Click(object sender, EventArgs e) 
{ 
    if (this.ChkRememberme != null && this.ChkRememberme.Checked == true) 
    { 
    HttpCookie cookie = new HttpCookie(TxtUserName.Text, TxtPassword.Text); 
    cookie.Expires.AddYears(1); 
    Response.Cookies.Add(cookie); 
    } 
} 

estoy haciendo de la manera correcta? Cualquier sugerencia ... Estoy usando la autenticación de Windows y soy not using asp.net membership ..

Answer 1

En lugar de almacenar directamente el nombre de usuario y la contraseña en la cookie, almacene el nombre de usuario y un hash de la contraseña y un salt en la cookie, luego cuando autentique la cookie, recupere la contraseña del nombre de usuario dado, vuelva a crear el hash con la contraseña y la misma sal y compararlos.

Crear hash es tan simple como almacenar la contraseña y los valores de sal juntos en una cadena, convertir la cadena en una matriz de bytes, calcular el hash de la matriz de bytes (usando MD5 o lo que prefiera) y convertir el hash resultante a una cadena (probablemente a través de la codificación base64).

Aquí hay un código de ejemplo:

// Create a hash of the given password and salt. 
public string CreateHash(string password, string salt) 
{ 
    // Get a byte array containing the combined password + salt. 
    string authDetails = password + salt; 
    byte[] authBytes = System.Text.Encoding.ASCII.GetBytes(authDetails); 

    // Use MD5 to compute the hash of the byte array, and return the hash as 
    // a Base64-encoded string. 
    var md5 = new System.Security.Cryptography.MD5CryptoServiceProvider(); 
    byte[] hashedBytes = md5.ComputeHash(authBytes); 
    string hash = Convert.ToBase64String(hashedBytes); 

    return hash; 
} 

// Check to see if the given password and salt hash to the same value 
// as the given hash. 
public bool IsMatchingHash(string password, string salt, string hash) 
{ 
    // Recompute the hash from the given auth details, and compare it to 
    // the hash provided by the cookie. 
    return CreateHash(password, salt) == hash; 
} 

// Create an authentication cookie that stores the username and a hash of 
// the password and salt. 
public HttpCookie CreateAuthCookie(string username, string password, string salt) 
{ 
    // Create the cookie and set its value to the username and a hash of the 
    // password and salt. Use a pipe character as a delimiter so we can 
    // separate these two elements later. 
    HttpCookie cookie = new HttpCookie("YourSiteCookieNameHere"); 
    cookie.Value = username + "|" + CreateHash(password, salt); 
    return cookie; 
} 

// Determine whether the given authentication cookie is valid by 
// extracting the username, retrieving the saved password, recomputing its 
// hash, and comparing the hashes to see if they match. If they match, 
// then this authentication cookie is valid. 
public bool IsValidAuthCookie(HttpCookie cookie, string salt) 
{ 
    // Split the cookie value by the pipe delimiter. 
    string[] values = cookie.Value.Split('|'); 
    if (values.Length != 2) return false; 

    // Retrieve the username and hash from the split values. 
    string username = values[0]; 
    string hash = values[1]; 

    // You'll have to provide your GetPasswordForUser function. 
    string password = GetPasswordForUser(username); 

    // Check the password and salt against the hash. 
    return IsMatchingHash(password, salt, hash); 
} 

Answer 2

No almacenaría la contraseña de los usuarios en una cookie ... En lugar de almacenar la identificación de usuario y la dirección IP en la cookie.

Answer 3

yo no almacenar el id de IP/usuario en la cookie. El secuestro de la sesión sería muy fácil, quiero decir que conozco el nombre de usuario/ip de mis colegas, podría agregar esa cookie a mi mensaje y luego puedo trabajar en la sesión de mi colega.