akka/akka-http

Review potential cross-site security issue wrt Websocket

Open

#275 ouverte le 12 sept. 2016

Voir sur GitHub
 (7 commentaires) (0 réactions) (0 assignés)Scala (598 forks)batch import
1 - triagedhelp wantedt:websocket

Métriques du dépôt

Stars
 (1 311 stars)
Métriques de merge PR
 (Merge moyen 1j 10h) (2 PRs mergées en 30 j)

Description

Issue by jrudolph Thursday Sep 24, 2015 at 09:05 GMT Originally opened as https://github.com/akka/akka/issues/18549

@fommil reminded me that browsers may not be strict enough in preventing cross-site scripting to prevent malicious sites from opening up websocket connections on the behalf of the browser user.

We need to check in which situations this can lead to problems and how to prevent insecure access (e.g. by changing the server-side Websocket API to force the developer to provide an Origin checker to accept incoming Websocket requests).

Guide contributeur

Direction de recherche
Étudiez comment les navigateurs gèrent les origines WebSocket et proposez une implémentation d'un vérificateur d'origine côté serveur pour akka http. Examinez l'API websocket existante et suggérez des modifications pour imposer la vérification d'origine.
Stack technique
Aucun
Domaine
backendsecurity
Type d'issue
Sécurité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Une demi journée
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Ancienne
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
GitWebSocket basicsSecurity concepts
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
40