Medidas para proteger websockets para clientes que no son navegadores

0

He estado investigando los riesgos de seguridad que debían abordarse al configurar una aplicación utilizando websockets, pero los principales problemas que he observado (CSRF, XSS, secuestro de sitios web en sitios cruzados) parecen depender de El cliente websocket está configurado en un navegador. El secuestro tanto de Csrf como del socket web parecen depender de que otros sitios web puedan acceder a la información de las cookies desde el sitio web de destino, pero esto no debería ser un problema cuando el cliente websocket es una aplicación separada que no tiene navegador. En cuanto a las vulnerabilidades de XSS, no sé cómo un cliente que no es navegador introduce nuevos problemas.

¿Se puede ignorar alguno de estos problemas al crear una aplicación websocket que funciona fuera de los navegadores? ¿Hay algún riesgo nuevo que surja cuando solo usas websockets para comunicarte con clientes que no son navegadores?

    
pregunta Copernicus 06.07.2017 - 20:13
fuente

1 respuesta

0
  

¿Se puede ignorar alguno de estos problemas al crear un websocket?   ¿Aplicación que funciona fuera de los navegadores?

Su uso de la comunicación de websocket en una configuración que no sea de "buscador de espacio aislado" significa que no tiene que preocuparse por las deficiencias de los navegadores, pero ahora tiene más control de dónde están subiendo / bajando los datos de la conexión de websocket. y lo que el usuario puede hacer con esos datos. Esto lo hace vulnerable a la misma variedad de explotaciones a las que es susceptible cualquier conexión TCP o HTTP. En resumen, la aplicación bajo la cual está utilizando el protocolo websocket no afecta la seguridad del propio protocolo .

    
respondido por el Patrick Bell 07.07.2017 - 03:40
fuente

Lea otras preguntas en las etiquetas