WebSocket CSRF

1. Os websockets podem ser seqüestrados?
2. Qual é o impacto do seqüestro de websocket entre sites?
3. Como faço para proteger meu webSocket?
4. WebSocket define cookie?
5. Os websockets são um risco de segurança?
6. Quais são as desvantagens dos websockets?
7. Os websockets estão bloqueados pelo firewall?
8. O WebSocket é mais seguro que o HTTPS?
9. Quantos websockets são demais?
10. O que substituirá os websockets?
11. Os websockets exigem TLS?
12. Os websockets exigem https?
13. Por que o webSocket não é popular?
14. O que é melhor do que websockets?
15. WebSocket é mais rápido que o HTTP?
16. O que é seqüestro WebSocket?
17. WebSocket é mais lento que o TCP?
18. Os websockets podem ser falsificados?
19. Os websockets estão bloqueados pelo firewall?
20. O WebSocket é mais seguro que o HTTPS?
21. As mensagens do websocket podem se perder?
22. O que substituiu o WebSocket?
23. Os websockets exigem TLS?
24. Por que os websockets falham?
25. O que é melhor do que websockets?
26. WebSocket é um TCP ou HTTP?
27. WebSocket é mais lento que o TCP?
28. Quantos websockets são demais?
29. Por que os websockets não são escaláveis?
30. Os websockets sobre TCP ou UDP?

Os websockets podem ser seqüestrados?

Também conhecido como seqüestro de websocket de origem cruzada. É uma falsificação de solicitação entre sites (CSRF) em um handshake WebSocket Hands. Ele surge quando a solicitação de handshake da WebSocket se baseia apenas em cookies HTTP para manuseio de sessões e não contém nenhum tokens de CSRF ou outros valores imprevisíveis.

Qual é o impacto do seqüestro de websocket entre sites?

Qual é o impacto do seqüestro de websocket entre sites? Um ataque de seqüestro de websocket entre os sites de sucesso muitas vezes permitirá que um invasor: execute ações não autorizadas, mascarando-se como usuário da vítima. Assim como no CSRF regular, o invasor pode enviar mensagens arbitrárias para o aplicativo do lado do servidor.

Como faço para proteger meu webSocket?

Você deve preferir fortemente o Protocolo WSS: //. Como o HTTPS, o WSS (WebSockets sobre SSL/TLS) é criptografado, protegendo assim contra ataques de homem no meio. Uma variedade de ataques contra websockets se torna impossível se o transporte for garantido.

WebSocket define cookie?

Embora, em teoria, seja possível usar cookies, pois todas as conexões do WebSocket começam com uma solicitação HTTP (com um cabeçalho de atualização), e os cookies para o domínio para o qual estiver se conectar WebSocket.

Os websockets são um risco de segurança?

Algumas vulnerabilidades de segurança da WebSockets surgem quando um invasor faz uma conexão WebSocket de domínio cruzado de um site que o invasor controla. Isso é conhecido como um ataque de seqüestro de websocket entre sites e envolve a exploração de uma vulnerabilidade de falsificação de solicitação de sites (CSRF) em um handsocke WebSocket Handshake.

Quais são as desvantagens dos websockets?

A maior desvantagem de usar o WebSocket é o peso do protocolo e os requisitos de hardware que ele traz. O WebSocket requer uma implementação TCP, que pode ou não ser um problema, mas também requer uma implementação HTTP para a configuração inicial de conexão.

Os websockets estão bloqueados pelo firewall?

As conexões da WebSocket geralmente funcionam, mesmo que um proxy ou firewall esteja no lugar. Isso ocorre porque eles usam as portas 80 e 443, que também são usadas pelas conexões HTTP. Em algumas situações, as conexões WebSocket estão bloqueadas pela porta 80. Nesse caso, uma conexão SSL segura usando WSS sobre a porta 443 deve se conectar com sucesso.

O WebSocket é mais seguro que o HTTPS?

O WSS é seguro apenas porque significa "Protocolo WebSocket sobre HTTPS". O próprio protocolo WebSocket não é seguro. Não existe um protocolo WebSocket seguro, mas há apenas "Protocolo WebSocket sobre HTTP" e "WebSocket Protocol sobre HTTPS". Veja também esta resposta.

Quantos websockets são demais?

Usando uma biblioteca WebSocket de sua escolha para conectar -se ao servidor. Após a 10ª conexão, não há mais conexões são aceitas pelo servidor.

O que substituirá os websockets?

WebTransport é uma nova especificação que poderia oferecer uma alternativa aos websockets. Para aplicativos que precisam de comunicação de baixa latência e orientação de eventos entre pontos de extremidade, o WebSockets tem sido a escolha, mas o WebTransport pode mudar isso.

Os websockets exigem TLS?

O protocolo WSS estabelece um webSocket sobre uma conexão TLS criptografada, enquanto o protocolo WS usa uma conexão não criptografada. Neste ponto, a conexão de rede permanece aberta e pode ser usada para enviar mensagens do WebSocket em qualquer direção.

Os websockets exigem https?

Você não pode usar o WebSockets sobre o HTTPS, mas pode usar o WebSockets sobre o TLS (HTTPS é HTTP sobre TLS). Basta usar "wss: //" no URI. Acredito que a versão recente do Firefox não permite que você use websockets não-TLs de uma página HTTPS, mas o inverso não deve ser um problema.

Por que o webSocket não é popular?

Os websockets estão em grande parte obsoletos porque hoje em dia, se você criar uma solicitação de busca HTTP/2, qualquer conexão mantida existente com esse servidor é usada; portanto, a sobrecarga de que as conexões pré-http/2 xhr são perdidas e com ela a vantagem dos websockets.

O que é melhor do que websockets?

Os eventos enviados ao servidor são uma boa alternativa ao WebSockets para casos de uso em tempo real simples que exigem apenas comunicação unidirecional (do servidor para o cliente). Exemplos incluem aplicativos em tempo real somente leitura, como tickers de estoque ou atualizações de notícias.

WebSocket é mais rápido que o HTTP?

Todos os aplicativos frequentemente atualizados usados ​​WebSocket porque é mais rápido que a conexão HTTP. Quando não queremos manter uma conexão por uma quantidade específica de tempo ou reutilizar a conexão para transmitir dados; Uma conexão HTTP é mais lenta que os websockets.

O que é seqüestro WebSocket?

O seqüestro de Websocket entre sites, também conhecido como seqüestro de websocket de origem cruzada, envolve uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) em um shake de mão websocket handshake.

WebSocket é mais lento que o TCP?

Assim, na maioria dos casos, provavelmente não é uma boa ideia usar o WebSockets em vez de TCP direto, pois você receberá uma taxa de transferência de uma mensagem 10 vezes maior com o último (observe que isso não é o mesmo que a taxa de transferência de dados).

Os websockets podem ser falsificados?

Se você construir seu webSocket sobre o HTTP, então sim, é completamente possível para terceiros falsificar a conexão (e também para espionar). Se o seu sistema HTTPS/WSS não validar adequadamente os certificados, isso também poderá ser falsificado.

Os websockets estão bloqueados pelo firewall?

As conexões da WebSocket geralmente funcionam, mesmo que um proxy ou firewall esteja no lugar. Isso ocorre porque eles usam as portas 80 e 443, que também são usadas pelas conexões HTTP. Em algumas situações, as conexões WebSocket estão bloqueadas pela porta 80. Nesse caso, uma conexão SSL segura usando WSS sobre a porta 443 deve se conectar com sucesso.

O WebSocket é mais seguro que o HTTPS?

O WSS é seguro apenas porque significa "Protocolo WebSocket sobre HTTPS". O próprio protocolo WebSocket não é seguro. Não existe um protocolo WebSocket seguro, mas há apenas "Protocolo WebSocket sobre HTTP" e "WebSocket Protocol sobre HTTPS". Veja também esta resposta.

As mensagens do websocket podem se perder?

Pode acontecer. O TCP garante a ordem dos pacotes, mas não significa que todos os pacotes enviados de um servidor atingam um cliente, mesmo quando um problema irrecuperável acontece em uma rede subjacente.

O que substituiu o WebSocket?

WebTransport é uma nova especificação que poderia oferecer uma alternativa aos websockets. Para aplicativos que precisam de comunicação de baixa latência e orientação de eventos entre pontos de extremidade, o WebSockets tem sido a escolha, mas o WebTransport pode mudar isso.

Os websockets exigem TLS?

O protocolo WSS estabelece um webSocket sobre uma conexão TLS criptografada, enquanto o protocolo WS usa uma conexão não criptografada. Neste ponto, a conexão de rede permanece aberta e pode ser usada para enviar mensagens do WebSocket em qualquer direção.

Por que os websockets falham?

A mensagem de erro "WebSocket Incapaz de conectar" indica que você provavelmente está trabalhando atrás de um proxy que não suporta o protocolo Websocket. Nesse caso, as conexões do dispositivo mudarão para o protocolo HTTP.

O que é melhor do que websockets?

Os eventos enviados ao servidor são uma boa alternativa ao WebSockets para casos de uso em tempo real simples que exigem apenas comunicação unidirecional (do servidor para o cliente). Exemplos incluem aplicativos em tempo real somente leitura, como tickers de estoque ou atualizações de notícias.

WebSocket é um TCP ou HTTP?

O protocolo WebSocket é um protocolo independente baseado em TCP. Sua única relação com o HTTP é que seu aperto de mão é interpretado pelos servidores HTTP como uma solicitação de atualização. Por padrão, o WebSocket Protocol usa a porta 80 para conexões Websocket regulares e a porta 443 para conexões Websocket tuneadas sobre TLS [RFC2818].

WebSocket é mais lento que o TCP?

Assim, na maioria dos casos, provavelmente não é uma boa ideia usar o WebSockets em vez de TCP direto, pois você receberá uma taxa de transferência de uma mensagem 10 vezes maior com o último (observe que isso não é o mesmo que a taxa de transferência de dados).

Quantos websockets são demais?

Usando uma biblioteca WebSocket de sua escolha para conectar -se ao servidor. Após a 10ª conexão, não há mais conexões são aceitas pelo servidor.

Por que os websockets não são escaláveis?

Mas por que os websockets são difíceis de escalar? O principal desafio é que as conexões com o seu servidor WebSocket precisam ser persistentes. E mesmo quando você escalou os nós do servidor tanto na vertical quanto na horizontal, você também precisa fornecer uma solução para compartilhar dados entre os nós.

Os websockets sobre TCP ou UDP?

WebSocket é um protocolo de comunicação de computador, fornecendo canais de comunicação com duplex completo em uma única conexão TCP. O protocolo WebSocket foi padronizado pelo IETF como RFC 6455 em 2011.