WebSockets-Authentifizierung

Question

Welche Möglichkeiten gibt es, Benutzer zu authentifizieren, wenn eine Websocket-Verbindung verwendet wird?

Beispielszenario: Webbasierte Multi-User-Chat-Anwendung durch verschlüsselte Websocket-Verbindung. Wie kann ich sicherstellen (oder garantieren), dass jede Verbindung in dieser Anwendung zu bestimmten authentifizierten Benutzern gehört und "nicht" durch falsche Benutzeridentität während der Verbindung ausgenutzt werden kann.

Answer 1

Mit SSL/TLS können sowohl Clients als auch Server mit X.509-Zertifikaten authentifiziert werden. Dies hängt von der Web-Anwendungsplattform ab, die Sie verwenden. In Apache kann das SSL_CLIENT_CERT environment variable auf Gültigkeit gegen eine Liste von bekannten Zertifikaten überprüft werden, um gültig zu sein. Dies erfordert nicht die Verwendung einer vollständigen PKI und erfordert nicht, dass Sie Zertifikate für jeden Client erwerben müssen. Obwohl ich empfehle, eine CA zu verwenden, um das SSL-Zertifikat Ihres Servers zu sichern.

Answer 2

Wenn Sie bereits eine Authentifizierung für den Nicht-Websocket-Teil Ihrer App durchführen, übergeben Sie einfach den Sitzungscookie als erste Nachricht nach der Verbindung und überprüfen Sie den Cookie wie gewohnt.

ACHTUNG: Es ist darauf hingewiesen worden, dass die folgende funktioniert nicht, wenn flashsockets verwendet:
Wenn Sie socket.io verwenden, ist es noch einfacher die Cookies werden durch automatisch auf der Verbindung übergeben und kann zugegriffen werden wie die folgenden:

var io = require('socket.io'); 
var socket = io.listen(app); 
socket.on('connection', function(client){ 
    cookies = client.headers['cookie']; 
});