Mejores prácticas de WebSockets anti-DoS

En estos días es casi imposible frustrar un DoS basado en el tráfico sin algún tipo de firewall físico en la red. Sin embargo, si está hablando de otras formas de DoS, hay algunas cosas que puede hacer para ayudar.

• Utilice sockets asíncronos / no bloqueantes. Un usuario malintencionado podría abrir cualquier número de conexiones a sus sockets y consumir todos los subprocesos disponibles. ( Vulnerabilidad de Slowloris )

• Controle la cantidad de solicitudes por segundo que puede enviar un usuario para asegurarse de que no esté inundando su socket

• Asegúrate de que el usuario no pueda hacer que el servidor haga nada que requiera demasiados recursos

tl; dr:

  

"Sí, WebSocket es la primera forma de abrir un número ilimitado de conexiones a un solo servidor, por lo que es probable que necesite una protección adicional para evitar los ataques de DOS. Pero realmente no tenemos una manera de implementar esto correctamente ... . "( enlace )

ya que también me interesa ese tema, pero no tengo tiempo para leer todas las fuentes, lo comenzaré como una colección de enlaces (con suerte) útiles; Comentarios a cada enlace apreciado

• Análisis de seguridad de WebSocket (PDF)
• Los peligros de HTML5: WebSockets y estándares estables (MSDN)
• WebSocket Security (Heroku)
• Websockets 101 (pocoo) (en la mayoría de las secciones de lecciones aprendidas)

actualización 1 (especialmente Blackhat-Presentation)

• Hacking con WebSockets / BlackHat 2012 , esp. Secciones: Denegación de servicio - Servidor / Implementar WebSockets de forma segura / Protocolo seguro para WebSockets

• HTML5 WebSockets - seguridad y amplificador; Nueva herramienta para atacar

• HTML5 Web Sockets cambia el juego de escalabilidad