Duda con FormsAuthenticationTicket

[zaqpz]

Hola chic@s, estoy haciendo una aplicación basada en roles en la cual hay 3 rangos que permiten acceder a distintas carpetas.
Para hacer pruebas en el script, cree un ticket, lo encripté y envié la información al navegador del cliente en una cookie.
Ahora, al ver el contenido de esa cookie me surge la siguiente duda: en una parte se guarda la información del rol al cual pertenece el usuario, por lo que imagino que se utiliza esa información para validar que ese usuario le sea permitido acceder a una "X" carpeta. Pero ¿que pasa si el usuario desencripta la cookie, le cambia "normal_user" por "admin" y la vuelve a encriptar? ¿le sería permitido acceder a las carpetas restringidas a los usuarios "admin"?

Me parece bastante ilógico que esto sea como me imagino, ya que en ese caso habría un gran problema de seguridad, pero al desconocer como funciona este tema, prefiero asegurarme antes que nada.

Se agradece cualquier respuesta.

Saludos.