protected void Session_Start(object sender, EventArgs e)
      {         
         Session[AccountController.LOGOFF_SESSION_KEY] = false;
      }

   public class AccountController : Controller
   {
      //1.   при старте сессии Session[LOGOFF_SESSION_KEY] = false
      //2.   после вызова экшина LogOff(), Session[LOGOFF_SESSION_KEY] = true и редирект LogOffRedirect();
      //3.1. убиваем сессию и возвращаем 401
      //3.2. браузер логинится под пользователь который хочет выйти (помнит гад), 
      //     начинается новая ссессия (Session[LOGOFF_SESSION_KEY] = false),
      //     но пользователь возвращается на LogOffRedirect(), Session[LOGOFF_SESSION_KEY] = null, 
      //     чтобы попал в шаг "три" и контрольный 401 (со второго раза выводит запрос логина и пароля)
      //3.3. пользователь вводит логин/пароль и опять попадает LogOffRedirect(), т.к. это его последний экшин,
      //     ставим Session[LOGOFF_SESSION_KEY] = false (как будто сессия только началась) и домой  

      internal const string LOGOFF_SESSION_KEY = "Reauthorized_user";

      public ActionResult LogOff()
      {
         Session[LOGOFF_SESSION_KEY] = true;
         return RedirectToAction("LogOffRedirect");
      }

      public ActionResult LogOffRedirect()
      {
         // один
         if (Session[LOGOFF_SESSION_KEY] != null && (bool)Session[LOGOFF_SESSION_KEY] == true)
         {            
            Session.Abandon(); //Убиваем сессию           
            return new HttpUnauthorizedResult();
         }
         // два
         if (Session[LOGOFF_SESSION_KEY] != null)
         {
            Session[LOGOFF_SESSION_KEY] = null;
            return new HttpUnauthorizedResult();
         }
         // три
         Session[LOGOFF_SESSION_KEY] = false;
         return RedirectToAction("Index", "Home");
      }

   }

   public class AccountController : Controller
   {

      private static ConcurrentDictionary<string, int> _redirectCounter = new ConcurrentDictionary<string, int>();

      public ActionResult LogOff()
      {
         var param = new { key = Guid.NewGuid().ToString(), logoffDate = DateTime.Now.AddSeconds(3) };
         return RedirectToAction("LogOffRedirect", param);
      }
            
      public ActionResult LogOffRedirect(string key, DateTime logoffDate)
      {
         DateTime now = DateTime.Now;         
         int count = _redirectCounter.GetOrAdd(key, 0);
         if (count == 0 || now < logoffDate)
         {
            _redirectCounter[key]++;
            return new HttpUnauthorizedResult();
         }
         int val;
         _redirectCounter.TryRemove(key, out val);
         Session.Abandon();
         return RedirectToAction("Index", "Home");
      }

   }