Implicazione Websocket per i firewall

5

(Ho letto diverse domande qui su websocket ma apparentemente non esiste un tag websocket)

Se capisco correttamente, i websocket utilizzano il traffico TCP sulla porta 80.

Quali sono le implicazioni, se esistono, per le rigorose regole di firewalling? Per esempio se ho un firewall che accetta solo traffico correlato e stabilito e il "pacchetto TCP in arrivo con lo stato NUOVO" (gli altri sono presi in carico dai pacchetti relativi e stabiliti), permetteranno comunque il traffico web attraverso?

Inoltre, websocket fa parte del traffico già stabilito quando un utente si connette a un sito web?

Si noti che questa non è una domanda su iptables e il seguente esempio dovrebbe semplicemente servire per illustrare il mio scopo precedente. Dì che ho qualcosa di simile a questo:

a) iptables -I INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT
b) iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
c) iptables -I OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

in base a quali regole si assocerebbe websocket? Solo b) ec) o websocket creerebbe avviare la propria connessione TCP? (dal cliente?)

Fondamentalmente penso che la mia domanda si riassuma in: sono le eventuali impostazioni specifiche del firewall che devono essere fatte per consentire i websocket?

Inoltre, nel caso in cui venga scoperto un importante problema di sicurezza Websocket o un sito Web decida di non utilizzare websocket, può essere bloccato a livello di firewall?

    
posta Cedric Martin 22.02.2013 - 15:10
fonte

1 risposta

3

Da quello che so del protocollo WebSockets mentre consente il passaggio di messaggi a due vie, a livello TCP la connessione viene avviata dal client e come tale la maggior parte delle configurazioni firewall (ad esempio quelle che consentono la navigazione web standard) consentirà la comunicazione WebSockets senza ulteriore configurazione. Effettivamente guardando l' Articolo di Wikipedia , questo è pubblicizzato come uno dei vantaggi del protocollo.

Il rovescio della medaglia di questo è che il blocco non sarebbe possibile se il firewall funzionasse solo a un indirizzo IP / livello di porta TCP, avrebbe bisogno di capire più della semantica del protocollo per capire quando veniva usato . Inoltre, se è necessario bloccare le connessioni Websockets su SSL, il dispositivo proxy deve essere in grado di intercettare e decrittografare la connessione SSL.

    
risposta data 22.02.2013 - 16:32
fonte

Leggi altre domande sui tag