WebSocket güvenliği, tarayıcı ile sunucu arasında açık kalan sürekli ve çift yönlü bir bağlantının kötüye kullanılmasını önleyen önlemler bütünüdür. Klasik HTTP’de her istek ayrı ayrı doğrulanabilirken, WebSocket bağlantısı bir kez kurulduktan sonra uzun süre açık kalır ve iki taraf da istediği an mesaj gönderebilir. Bu kalıcı kanal, gerçek zamanlı uygulamalara güç verir ama aynı zamanda kendine özgü bir saldırı yüzeyi doğurur.

WebSocket güvenliği, tek seferlik istek modelinin denetimlerini, uzun ömürlü ve durum taşıyan bir bağlantı boyunca sürdürmenin sanatıdır.

El Sıkışma ve Şifreleme

Bir WebSocket bağlantısı, sıradan bir HTTP isteğinin Upgrade başlığıyla protokol değiştirmesi sonucu kurulur. Bu el sıkışma anı güvenliğin belirlendiği noktadır; çünkü kimlik doğrulama ve köken kontrolü asıl burada yapılabilir. Bağlantının ws:// yerine wss:// şemasıyla, yani SSL/TLS protokolü üzerinden kurulması ilk zorunluluktur. Aksi halde açık kanaldaki tüm mesajlar dinlenebilir ve el sıkışma sırasında taşınan oturum bilgileri açığa çıkar.

El sıkışma tamamlandıktan sonra sunucu, gelen bağlantının kimliğini oturum çerezi veya belirteç üzerinden mutlaka doğrulamalıdır. Sık yapılan hata, HTTP tarafındaki yetkilendirmenin WebSocket kanalına otomatik taşındığını varsaymaktır; oysa bağlantı yükseltildikten sonra hangi kullanıcının hangi mesajları göndermeye yetkili olduğu ayrıca denetlenmezse, saldırgan başka kullanıcıların verilerine erişebilir.

Cross-Site WebSocket Hijacking

WebSocket’e özgü en kritik zafiyet, çapraz site bağlantı ele geçirmedir (CSWSH). Tarayıcılar WebSocket el sıkışmasına aynı köken politikasını klasik isteklerdeki gibi uygulamaz; bir kullanıcı kötü niyetli bir sayfayı ziyaret ettiğinde, o sayfa kullanıcının çerezleriyle birlikte hedef sunucuya bağlantı açabilir. Sunucu bağlantının nereden geldiğini denetlemezse, saldırgan kurbanın kimliğiyle veri okuyup gönderebilir. Bunun önlenmesi için sunucunun el sıkışma sırasındaki Origin başlığını beyaz listeye göre doğrulaması ve rastgele bir CSRF belirteci beklemesi gerekir.

• Şifreli taşıma: bağlantıyı daima wss:// üzerinden kurmak
• Köken doğrulama: el sıkışmadaki Origin başlığını beyaz listeyle denetlemek
• Bağlantı başına yetkilendirme: her mesajın gönderenin yetkisini kontrol etmek
• Girdi denetimi: kanaldan gelen her mesajı güvenilmez veri olarak işlemek
• Hız sınırlama: mesaj ve bağlantı sayısını sınırlayıp kaynak tüketimini engellemek

Bağlantı kurulduktan sonra kanaldan akan her mesaj, tıpkı bir HTTP gövdesi gibi güvenilmez girdi kabul edilmelidir. Enjeksiyon, biçimsiz veri ve iş mantığı kötüye kullanımı bu kanalda da geçerlidir; hatta sürekli açık bağlantı, tek bir oturumdan çok sayıda kötü niyetli mesaj gönderilmesine imkan verir. Bu yönüyle WebSocket denetimleri, API güvenliği ilkeleriyle örtüşür ve girdi doğrulama aynı titizlikle uygulanmalıdır.

Kurumsal Bakış ve Doğrulama

Gerçek zamanlı işlevlerin yaygınlaşmasıyla WebSocket kanalları, geleneksel güvenlik testlerinde çoğu zaman gözden kaçan bir alan haline geldi. OWASP Top 10 kapsamındaki erişim kontrolü ve enjeksiyon zafiyetleri bu kanalda da aynen ortaya çıkabilir; farklı olan yalnızca taşıma mekanizmasıdır. Kalıcı bağlantıların kimlik doğrulama, köken kontrolü ve mesaj yetkilendirmesi açısından test edilmesi, bir altyapı ve mimari gözden geçirme çalışmasında ele alındığında sıklıkla gözden kaçmış boşlukları açığa çıkarır.