WebSocket Security Testing

Définition

Le WebSocket Security Testing désigne les tests de sécurité spécifiques aux connexions WebSocket, protocole de communication bidirectionnel temps-réel (RFC 6455) utilisé dans les applications web modernes pour des fonctionnalités comme le chat en temps réel, les notifications push, les tableaux de bord live, et les applications collaboratives. Les WebSockets présentent des vecteurs d'attaque différents des requêtes HTTP classiques car ils maintiennent une connexion persistante bidirectionnelle après le handshake HTTP initial. Les vulnérabilités spécifiques aux WebSockets incluent : le Cross-Site WebSocket Hijacking (CSWSH — analogue CSRF pour WebSockets : un site malveillant peut initier une connexion WebSocket vers l'application cible en utilisant les cookies de session de la victime, puisque les WebSockets ne sont pas soumis à la Same-Origin Policy pour l'initiation de connexion), les injections via les messages WebSocket (les messages envoyés via WebSocket peuvent contenir des payloads d'injection SQL, XSS, ou de commandes si les données ne sont pas validées côté serveur), l'absence d'authentification sur les endpoints WebSocket (distinct de l'authentification HTTP, le serveur WebSocket doit re-valider l'identité après le handshake), et les DoS par connexions massives ou messages surdimensionnés (sans limite sur le nombre de connexions ou la taille des messages). Les outils de test de sécurité WebSocket incluent : Burp Suite Professional (qui intercepte et modifie les messages WebSocket via son interface graphique, et permet le fuzzing de messages WebSocket), OWASP ZAP (WebSocket extension permettant l'interception et la modification des messages), wscat (client WebSocket CLI pour les tests manuels), et socket.io-parser-fuzzer (fuzzing spécifique aux connexions Socket.io). La sécurisation des WebSockets nécessite : validation de l'en-tête Origin lors du handshake (pour prévenir le CSWSH), ré-authentification du client après le handshake (en ne se fiant pas uniquement aux cookies de session HTTP), validation de tous les messages reçus (validation du schéma JSON, limitation de taille), rate limiting des messages, et chiffrement TLS (wss:// obligatoire, jamais ws:// en production).