セッションにパスワードを保存する

Question

セッション状態でユーザーが入力したパスワードを保存することを検討しています。私が気づく必要があるセキュリティ上のリスクや問題はありますか？

Answer 1

はい。これは本当に悪い考えです。データベースにパスワードを格納すべきではありません。代わりにパスワードのハッシュを保存することをお勧めします。したがって、パスワードを検証することはできますが、誰かがデータベース（またはあなたのケースではセッション状態）にアクセスすると、実際にはユーザーのパスワードを持っていないことになります。

Answer 2

asp.netには、セッションデータを格納できる場所が多数あります。最も一般的な開発では、InProc、または基本的にはRAMメモリです。しかし、ある日、データベースなどの別のセッションプロバイダを使用するか、Windows Azureキャッシュを使用するかを決めることができます。 パスワードをクリアテキストで保存すると、これらの両方のケースでネットワークを介して送信されたときにパスワードが表示されます。

上記のシナリオでは、セッションデータがネットワーク経由で転送される場合、転送がhttpsで送信されない限り、クリアパスワードが表示されます。