Wie wurde das SameSite-Attribut automatisch zu meinem Asp.net_SessionID-Cookie hinzugefügt?

Kürzlich wurde samesite = lax automatisch zu meinem Sitzungscookie hinzugefügt! Dieses Attribut wird einfach zur Sitzungs-ID hinzugefügt: "Set-Cookie ASP.NET_SessionId=zana3mklplqwewhwvika2125; path=/; HttpOnly; **SameSite=Lax**"

Meine auf IIS 8.5, Windows 2012 R2 gehostete Website enthält weder WAF noch UrlRewrite, und ich deaktiviere AntiVirus (Kasper).

aber noch haben das gleiche Problem auf einigen Kundenservern.

irgendeine Idee?

BEARBEITET: Ich finde dies: https://support.microsoft.com/en-us/help/4524419/kb4524419

ASP.NET gibt jetzt einen SameSite-Cookie-Header aus, wenn der HttpCookie.SameSite-Wert "None" ist, um anstehenden Änderungen an der Behandlung von SameSite-Cookies in Chrome Rechnung zu tragen. Im Rahmen dieser Änderung werden FormsAuth- und SessionState-Cookies auch mit SameSite = 'Lax' anstelle der vorherigen Standardeinstellung 'None' ausgegeben, obwohl diese Werte in web.config überschrieben werden können.

Wie kann ich Samesite-Cookies für SessionState in web.config überschreiben? Ich füge diese Zeile hinzu, aber es funktioniert nicht auf SessionID-Cookie! <httpCookies sameSite="Unspecified" />

BEARBEITET: Ich finde dies: https://docs.microsoft.com/en-us/dotnet/api/system.web.configuration.sessionstatesection.cookiesamesite?view=netframework-4.8#System_Web_Configuration_SessionStateSection_CookieSameSite

Legen Sie die Samesite für den Stateserver anhand des Attributs "cookieSameSite" des SessionState-Tags fest.

Fügen Sie diese Optionen zu web.config für sameSite = None, Lax oder Strict hinzu

<system.web>
    <httpCookies sameSite="None"/>
    <sessionState cookieSameSite="None" />
    <authentication mode="Forms">
        <forms cookieSameSite="None" />
    </authentication>

Ich kann rewrite nicht verwenden, da UrlRewrite nicht auf allen Servern meiner Kunden installiert ist.

Schließlich füge ich cookieSameSite zu meiner web.config hinzu:

<sessionState mode="StateServer" cookieSameSite="None" sqlConnectionString="data source=(local);user id=sa;password=" cookieless="false" timeout="20" />

Das CookieSameSite-Attribut ist für viele ältere Frameworks nicht verfügbar. Wenn Sie sich in einer Situation befinden, in der die akzeptierte Antwort in Ihrer Umgebung nicht unterstützt wird, lesen Sie weiter!

Ich habe mehrere SO-Antworten geändert, um diese URL-Umschreibung zu erhalten, die SameSite=NoneSitzungscookies hinzufügt , und sie für die meisten inkompatiblen Browser SameSite=Noneaus allen Cookies zu entfernen . Ziel dieser Neufassung ist es, das "Legacy" -Verhalten vor Chrome 80 beizubehalten.

Vollständiger Artikel in meinem Coder Frontline-Blog :

<rewrite>
  <outboundRules>
    <preConditions>
      <!-- Checks User Agent to identify browsers incompatible with SameSite=None -->
      <preCondition name="IncompatibleWithSameSiteNone" logicalGrouping="MatchAny">
        <add input="{HTTP_USER_AGENT}" pattern="(CPU iPhone OS 12)|(iPad; CPU OS 12)" />
        <add input="{HTTP_USER_AGENT}" pattern="(Chrome/5)|(Chrome/6)" />
        <add input="{HTTP_USER_AGENT}" pattern="( OS X 10_14).*(Version/).*((Safari)|(KHTML, like Gecko)$)" />
      </preCondition>
    </preConditions>

    <!-- Adds or changes SameSite to None for the session cookie -->
    <!-- Note that secure header is also required by Chrome and should not be added here -->
    <rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*ASP.NET_SessionId.*)" />
      <!-- Use this regex if your OS/framework/app adds SameSite=Lax automatically to the end of the cookie -->
      <!-- <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(?=SameSite)" /> -->
      <action type="Rewrite" value="{R:1}; SameSite=None" />
    </rule>

    <!-- Removes SameSite=None header from all cookies, for most incompatible browsers -->
    <rule name="CookieRemoveSameSiteNone" preCondition="IncompatibleWithSameSiteNone">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=None)" />
      <action type="Rewrite" value="{R:1}" />
    </rule>
  </outboundRules>
</rewrite>

Dies sollte für die meisten ASP .Net- und ASP .Net Core-Anwendungen funktionieren, obwohl neuere Frameworks über geeignete Code- und Konfigurationsoptionen verfügen, mit denen Sie dieses Verhalten steuern können. Ich würde empfehlen, alle verfügbaren Optionen zu prüfen, bevor Sie mein oben beschriebenes Umschreiben verwenden.

Letztes Update: Zemiens Antwort ist umfassender und vollständiger als meine. weil es Cookies basierend auf dem Benutzeragenten setzt.

Meine Antwort:

Sie können SameSite = Lax durch SameSite = None für ASP.NET_SessionId in web.config folgendermaßen ersetzen:

<rewrite>
  <outboundRules>
    <rule name="AddSameSiteCookieFlag">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(SameSite=Lax)" />
      <action type="Rewrite" value="{R:1};SameSite=None" />
    </rule>
  </outboundRules>
</rewrite>

Update: Um ein IOS-Problem zu vermeiden , ersetzen Sie es

<action type="Rewrite" value="{R:1};SameSite=None" />

mit

<action type="Rewrite" value="{R:1};" />

@zemien Ihre Lösung hat unsere Google Chrome-Probleme richtig gelöst

Wir haben eine Integration, bei der unsere Anwendung in einen Iframe eines Drittanbieters eingebettet ist. Die am 4. Februar 2020 veröffentlichte Chrome-Version 80 verhinderte das Laden von Cookies.

Ich musste jedoch das Muster ändern, um alle Cookies zu erfassen, das Secure-Flag hinzuzufügen und die Bedingung zu erfüllen, dass das Umschreiben auf localhost für unsere lokale Nicht-https-Umgebung nicht angewendet wird

<rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=.*)?" />
      <conditions logicalGrouping="MatchAll" trackAllCaptures="false">
        <add input="{HTTP_HOST}" pattern="localhost" negate="true" />
      </conditions>
      <action type="Rewrite" value="{R:1}; SameSite=None; Secure" />
</rule>

Funktioniert bei mir. In meine web.config-Datei aufgenommen:

<sessionState cookieSameSite="None"></sessionState>

Upgrade auf .Net Framework 4.8 + Installationspatch: 2019-12 Kumulatives Update für .NET Framework 3.5 und 4.8 für Windows 10 Version 1909 für x64 (KB4533002)