Le machine keys sono segreti crittografici usati da IIS e ASP.NET per firmare e cifrare i dati delle applicazioni web, inclusi cookie di autenticazione, viewstate e altri token. In genere vengono condivise tra un server o un farm in modo che l'applicazione possa verificare che il proprio stato non sia stato manomesso.
Sono importanti nella sicurezza informatica perché chiunque rubi queste chiavi può essere in grado di falsificare cookie considerati affidabili, decifrare dati protetti o creare token dall'aspetto valido che sopravvivono ai logout e alle modifiche delle password. In pratica, gli aggressori cercano le machine keys dopo aver compromesso un server web, un backup dell'applicazione o un file di configurazione. Con le chiavi, possono mantenere l'accesso, impersonare utenti o aggirare alcuni controlli senza dover continuare a sfruttare la vulnerabilità originaria. I difensori le proteggono limitando l'accesso ai file e ai backup, ruotando le chiavi dopo un sospetto compromesso e verificando la configurazione di IIS e ASP.NET per individuare esposizioni.