asp.net安全なクッキー

Question

私はクッキーを保護したいと思っています。私はASP.NET_SessionIdクッキーの "HTTPOnly"と "Secure"クッキーフラグについて読んでいます。 私はVSで新しいasp.netプロジェクトを作成します。そしてインスペクターでシオマネキに - 私が持っている生>：

Cookie: DXCurrentThemeMVC=Office2010Black; ASP.NET_SessionId=1gq0t1mi234xyljqnxrzbqfx 

それから私は、web.configファイルに変更します、私は追加するとき

<system.web> 
    <compilation debug="true" targetFramework="4.0" /> 

    <httpCookies httpOnlyCookies="true" requireSSL="true"/> 

    <authentication mode="Forms"> 
     <forms loginUrl="~/Account/Login.aspx" timeout="2880" requireSSL="true" /> 
    </authentication> 

しかし、シオマネキで同じデータ

Cookie: DXCurrentThemeMVC=Office2010Black; ASP.NET_SessionId=1gq0t1mi234xyljqnxrzbqfx 

を私は思います <httpCookies httpOnlyCookies="true" requireSSL="true"/> ファイトラーでクッキーが表示されない、またはクッキーが暗号化される。これは正しい結果ですか？または私はどこかで間違いがありますか？

EDIT

と私は放火魔にシオマネキ

Set-Cookie: ASP.NET_SessionId=ig2fac55; path=/; secure; HttpOnly 

が、セット - なしのみクッキー、かつ安全に参照いけない、とHttpOnlyのもなぜ私は同じ結果を参照してください

EDIT2 私は私の問題を見つけるように思える：私はiisの上のホストアプリケーションとクッキーのための火かき棒の外観で、私はセキュアとhttpOnlyフラグでクッキーを持っているs：

ASP.NET_SessionId=98sfd90sdf89sd0f80s8; path=/; secure; HttpOnly 

Answer 1

MSDNのhttpCookies Elementセッションをご覧ください。

httpOnlyCookiesは、応答ヘッダーにHttpOnlyフラグを設定します。 Protecting Your Cookies: HttpOnlyの記事を参照してください。

requireSSLクッキーは安全なチャネルを介して転送されるため、削除されず、転送中に暗号化されます。