I siti web ASP.NET utilizzano algoritmi per criptare, decifrare e validare il viewstate, i dati di autenticazione mediante form e l’identificazione della sessione ASP.NET in modalità out of process, quindi per esempio per siti pubblicati su più server di una server farm.
Gli algoritmi e le relative chiavi di validazione e decrittazione sono configurabili nel file web.config attraverso l’elemento machineKey.
Le impostazioni di default di IIS prevedono che ad ogni sito sia assegnata automaticamente una chiave di validazione e una per decriptare. Però queste impostazioni non vanno bene, ad esempio, per siti pubblicati in load balancing su una web farm, poiché per consentire alla sessione di seguire l’utente mentre viene dirottato da un server verso un altro, è necessario che su tutti i server gli algoritmi e le chiavi coincidano.
È necessario, perciò, generare le chiavi e per farlo si possono utilizzare i numerosissimi tool on line, oltre che scriversene uno seguendo gli altrettanto numerosi tutorial on line.
Oppure si può usare lo stesso IIS 7 (o successivo) per configurare gli algoritmi e generare le chiavi, come suggerito qui, attraverso la funzionalità offerta da IIS Manager.
Dal sito che ci interessa, cliccando su “Chiave computer” si accede alla funzionalità specifica, in cui si può deselezionare l’opzione di generazione automatica in fase di esecuzione e poi, cliccando su “Genera chiavi”, far generare le chiavi.
Applicando le modifiche, nel file web.config del sito viene scritto l’elemento machineKey, ad esempio:
<configuration>
<system.web>
<machineKey decryption="AES" decryptionKey="99CF7A9B2A1D1B954A1800A714C3BFD0927AEAD93DBEA93B"
validationKey=
"F53F821100A97C0718E481ACDE9EDDFBA360A8882A4F88ECC29D6029D9053CE1A94EC95A29C51556E19C6B918DB342F8B78C634AA59CC4C3CE0D86A0BE3CFB16"
/>
</system.web>
</configuration>
Gli stessi valori dovranno essere riportati nei web.config del sito di tutti i server della web farm.