WebSocket 身份验证安全性

Question

我正在尝试向注册会员区的安全 WebSocket 服务器 (wss) 验证客户端。

一旦成员连接到 Web 服务器，我会在数据库中记录一个唯一令牌（与成员相关联），该令牌显示在页面上的隐藏字段中，以启动与 Web Socket 服务器的连接。

然后将令牌发送到使用令牌对帐户进行身份验证的 WebSocket 服务器。

我真的不是安全专家，我希望您对我的身份验证的安全性提出意见。

是否存在任何风险（cookie 劫持除外）？考虑到 WebSocket 没有规定服务器可以在 WebSocket 握手期间对客户端进行身份验证的任何特定方式，有没有更好的方法可以继续。

我使用 Ratchet WebSocket。

Answer 1

是的，一种选择是使用 cookie（和 TLS 以避免 cookie 劫持）：

在“plain old HTML form based”登录后设置cookie，将cookie传输到WebSocket服务器，并使用cookie对WebSocket进行身份验证。

这是使用 WebSocket 进行基于 Mozilla Persona 身份验证的complete example。

您询问了 Ratchet。这个例子不是 Ratchet，但它可能会给你一些线索——这就是为什么我认为可以指出来。

Answer 2

有没有风险...

是的，很多。 PKI/PKIX 和 SSL/TLS 有许多架构缺陷。有关完整的处理方法，请参阅 Peter Gutmann 的 Engineering Security。

另外，WebSockets 不允许您查询底层连接的属性。所以，据我所知，你甚至无法判断你是否真的在使用 SSL/TLS。您唯一会知道的就是您请求了它。

---

考虑到 WebSocket，有没有更好的方法来继续

我上次检查时，WebSockets 很糟糕。你要做的就是open、read 和write。它们旨在易于使用，但缺乏与安全相关的任何有用信息。

---

为了完整起见，我最后一次检查是在 2013 年 3 月，当时我正在对使用它们的应用进行安全评估。现在情况可能已经改变。

我还尝试让WebSockect RFC 作者和 RFC 编辑从安全角度讨论一些问题。所有的电子邮件都没有得到答复。

---

更新（2015 年）：它变得更好......浏览器和其他用户代理现在有 Host Public Key Pinning。

但是如果你看细节，它应该被称为“Host Public Key Pinning with Overrides”。内置的覆盖允许攻击者破坏一个好的 pinset。更糟糕的是，浏览器是掩盖行为的同谋，因为它必须抑制失败的 pin 报告。

您可以在Comments on draft-ietf-websec-key-pinning 阅读有关它的更多投诉（以及反驳）。

这是一个不应该标准化的垃圾标准。它更不安全的浏览器垃圾。