akka/akka-http

Review potential cross-site security issue wrt Websocket

Open

#275 aperta il 12 set 2016

Vedi su GitHub
 (7 commenti) (0 reazioni) (0 assegnatari)Scala (598 fork)batch import
1 - triagedhelp wantedt:websocket

Metriche repository

Star
 (1311 star)
Metriche merge PR
 (Merge medio 1g 10h) (2 PR mergiate in 30 g)

Descrizione

Issue by jrudolph Thursday Sep 24, 2015 at 09:05 GMT Originally opened as https://github.com/akka/akka/issues/18549

@fommil reminded me that browsers may not be strict enough in preventing cross-site scripting to prevent malicious sites from opening up websocket connections on the behalf of the browser user.

We need to check in which situations this can lead to problems and how to prevent insecure access (e.g. by changing the server-side Websocket API to force the developer to provide an Origin checker to accept incoming Websocket requests).

Guida contributor

Direzione di ricerca
Indaga come i browser gestiscono le origini WebSocket e proponi un'implementazione di un controllore di origine lato server per akka http. Rivedi l'API websocket esistente e suggerisci modifiche per imporre il controllo dell'origine.
Tech stack
Nessuno
Dominio
backendsecurity
Tipo issue
Sicurezza
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
Mezza giornata
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Datata
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
GitWebSocket basicsSecurity concepts
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
40