WebSocket-Verbindungen sind das Fundament moderner Echtzeit-Webanwendungen, aber ihr Sicherheitsmodell wird oft missverstanden. Cross-Site-WebSocket-Hijacking (CSWSH) tritt auf, wenn eine bösartige Website eine WebSocket-Verbindung zu einem verwundbaren Server unter Verwendung der vorhandenen Authentifizierungs-Cookies des Opfers initiiert. Im Gegensatz zu herkömmlichem CSRF, das HTTP-Anfragen betrifft, nutzt CSWSH aus, dass WebSocket-Handshakes oft nicht durch Origin-Validierung oder CSRF-Tokens geschützt sind. Sobald die Verbindung hergestellt ist, kann der Angreifer Nachrichten lesen und senden, möglicherweise sensible Daten stehlen oder Aktionen im Namen des Benutzers ausführen. Die Abschwächung erfordert strenge Origin-Prüfungen auf der Serverseite, die Validierung des Sec-WebSocket-Key und Authentifizierungsmechanismen, die nicht automatisch vom Browser gesendet werden, wie Tokens im Handshake. Dieses Thema ist zeitlos, da die WebSocket-Nutzung in Chat-, Gaming- und Kollaborationstools weiter zunimmt und es ein Hauptziel für Angreifer macht. Entwickler sollten WebSocket-Endpunkte mit derselben Strenge behandeln wie jede authentifizierte API.
Cross-Site-WebSocket-Hijacking (CSWSH) ist ein kritischer, aber wenig diskutierter Websicherheitsfehler, der es bösartigen Websites ermöglicht, WebSocket-Verbindungen im Namen authentifizierter Benutzer herzustellen. Dieses Signal hebt die Angriffsmechanik und die Notwendigkeit von Origin-Prüfungen und CSRF-ähnlichen Schutzmaßnahmen beim WebSocket-Handshake hervor. Es ist wichtig, weil moderne Echtzeit-Apps zunehmend auf WebSockets setzen und die Angriffsfläche wächst.