Authentification par WebSockets

Question

Quels sont les moyens possibles d'authentifier l'utilisateur lorsque la connexion websocket est utilisée ?

Exemple de scénario : Application de chat multi-utilisateurs basée sur le Web via une connexion Websocket cryptée. Comment puis-je m'assurer (ou garantir) que chaque connexion dans cette application appartient à un certain utilisateur authentifié et ne peut pas être exploitée par une fausse usurpation d'identité pendant la connexion.

Answer 1

Si vous procédez déjà à l'authentification pour la partie non websocket de votre application, transmettez simplement le cookie de session comme premier message après la connexion et vérifiez le cookie comme vous le feriez normalement.

AVERTISSEMENT : Il a été signalé que ce qui suit ne fonctionne pas lorsque des douilles flash sont utilisées :
Si vous utilisez socket.io Si vous avez besoin de plus d'informations, c'est encore plus facile : les cookies sont transmis automatiquement lors de la connexion et vous pouvez y accéder de la manière suivante :

var io = require('socket.io');
var socket = io.listen(app); 
socket.on('connection', function(client){ 
    cookies = client.headers['cookie'];
});

Answer 2

SSL/TLS peut être utilisé pour authentifier le client et le serveur à l'aide de certificats X.509. Cela dépend de la plateforme d'application web que vous utilisez. Dans Apache, le certificat SSL_CLIENT_CERT variable d'environnement peut être vérifié par rapport à une liste de certificats connus pour être valides. Cela ne nécessite pas l'utilisation d'une ICP complète et ne vous oblige pas à acheter des certificats pour chaque client. Bien que je recommande d'utiliser une autorité de certification pour sauvegarder le certificat SSL de votre serveur.

Answer 3

Il y a deux façons de procéder.

L'un des moyens consiste à permettre à quiconque d'ouvrir une connexion websocket. Demandez au client d'envoyer un jeton d'autorisation comme premier message après l'ouverture de la connexion. Si le client n'envoie pas un jeton valide dans un certain délai, fermez la connexion.

Une autre solution consiste à utiliser des cookies (ils sont envoyés automatiquement par le navigateur à chaque demande). Cela nécessite de mettre en place une protection CSRF (encore plus que la normale, car il n'existe pas de politique de même origine (SOP) pour les websockets. Vous pouvez trouver des détails ici . Le plan est le suivant :

1. faire une requête "websocket preauth" vers le backend depuis js en utilisant l'authentification normale du site
2. renvoie un jeton CSRF dans le corps de la réponse et définit un cookie "websocket auth" avec SameSite=Strict dans les en-têtes de la réponse
3. tentative d'établir une connexion websocket avec le backend, avec l'ajout du jeton CSRF dans un paramètre de requête
4. le backend vérifie
   • que le cookie d'authentification websocket et le jeton CSRF sont valides.
   • que la valeur de la Origin correspond à un domaine approuvé
5. le backend envoie une réponse et met à niveau la connexion pour utiliser des websockets

La première méthode est plus simple, mais elle présente l'inconvénient d'exiger que vous ayez un certain état côté serveur en attendant que le client s'authentifie. Cela peut permettre à un attaquant de réaliser une attaque par déni de service en consommant toutes les sockets disponibles.