Autenticación de WebSockets

Question

¿Cuáles son las formas posibles de autenticar al usuario cuando se usa la conexión websocket?

Escenario de ejemplo: aplicación de chat multiusuario basada en web a través de conexión de websocket encriptada. ¿Cómo puedo garantizar (o garantizar) que cada conexión en esta aplicación pertenece a cierto usuario autenticado y "no puede ser" explotada por suplantación de usuario falsa durante la conexión.

Answer 1

SSL/TLS se puede utilizar para autenticar tanto al cliente como al servidor utilizando certificados X.509. Depende de la plataforma de aplicaciones web que esté utilizando. En apache, SSL_CLIENT_CERT environment variable se puede verificar su validez con una lista de certificados conocidos para que sea válida. Esto no requeriría el uso de una PKI completa, y no requeriría que usted compre certificados para cada cliente. Aunque recomiendo usar una CA para respaldar el certificado ssl de tu servidor.

Answer 2

Si ya está haciendo la autenticación para la parte que no es de websocket de su aplicación, simplemente pase la cookie de sesión como el primer mensaje después de conectarse y verifique la cookie como lo haría normalmente.

ADVERTENCIA: Se ha señalado que el siguiente no funciona cuando se utilizan flashsockets:
Si está utilizando socket.io, es aún más fácil, las galletas se hacen pasar a través de forma automática en la conexión, y se puede acceder como el siguiente:

var io = require('socket.io'); 
var socket = io.listen(app); 
socket.on('connection', function(client){ 
    cookies = client.headers['cookie']; 
});