akka/akka-http

Review potential cross-site security issue wrt Websocket

Open

#275 aberto em 12 de set. de 2016

Ver no GitHub
 (7 comments) (0 reactions) (0 assignees)Scala (598 forks)batch import
1 - triagedhelp wantedt:websocket

Métricas do repositório

Stars
 (1.311 stars)
Métricas de merge de PR
 (Mesclagem média 1d 10h) (2 fundiu PRs em 30d)

Description

Issue by jrudolph Thursday Sep 24, 2015 at 09:05 GMT Originally opened as https://github.com/akka/akka/issues/18549

@fommil reminded me that browsers may not be strict enough in preventing cross-site scripting to prevent malicious sites from opening up websocket connections on the behalf of the browser user.

We need to check in which situations this can lead to problems and how to prevent insecure access (e.g. by changing the server-side Websocket API to force the developer to provide an Origin checker to accept incoming Websocket requests).

Guia do colaborador

Direção de pesquisa
Investigue como os navegadores lidam com origens WebSocket e proponha uma implementação de verificador de origem no lado do servidor para akka http. Revise a API websocket existente e sugira mudanças para impor a verificação de origem.
Pilha de tecnologia
None
Domain
backendsecurity
Tipo Issue
Segurança
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
3
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
Meio dia
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Antigo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GitWebSocket basicsSecurity concepts
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
40