ServiceStackのセッションIDは安全ですか？

Question

私が理解しているところでは、ServiceStackのAuthenticationを使用するときは、通常、セッションの開始時に認証し、サーバー側のセッションを認証済みとしてマークします。後続のWebサービス要求はそのセッションIDを使用し、再認証は必要ありません。 （私がこれまでに間違っていたら私を修正してください）。

SessionExtensions.csのGuid.NewGuid（）を使用して新しいセッションIDの生成が行われます。これはdoesn't generate cryptographically fantastic valuesです。暗号で安全な値を使用するように切り替える理由はありませんか？ RNGCryptoServiceProviderを使用していますか？

UPDATE：

実際には、ビットさらにそれについて考えた後、ASP.NETは、要求者が認証されていることを確認するために、そのセッションIDを使用していません。マシンキーで暗号化され、ASP.NET 2.0のプロセスのhere's a nice descriptionをハッシュしたFormsAuthenticationTicketを使用します。

私はセキュリティの仲間ではないので、ASP.NETフォーム認証によって提供されるセキュリティレベルとランダム値で提供されるセキュリティレベルを比較する場合、このことの意味はわかりません。私はそれがすべてキーとデータの長さになると思うが、フォーム認証にブルートフォース攻撃を仕掛けるのに必要な時間は、乱数のヒープ全体を試す必要がないため、おそらくもっと高いだろうか？

Answer 1

右ServiceStackは、すべてのWebフレームワークで共通のアプローチである、後続の要求に対して認証されたセッションを設定するためのAuthenticating + SetセッションCookieの標準HTTPアプローチを使用します。

.NETの脆弱性から、GUIDを予測してリバースエンジニアリングすることはできませんでしたが、it appears ASP.NET独自のSessionIdはGuid（2^120対2^128エントロピーのビット）。しかし、本当にランダムではないので、次のリリースで本当にランダムな識別子を使用するようにServiceStackの実装を変更します。