将我的 SSL 密钥和证书文件传递给 Socket.IO 是否安全？

Question

我正在使用 Socket.IO 构建网络聊天

为了通过HTTPS 在Port 3000 上进行通信，我需要传递我的SSL Key 和证书文件。

Socket.IO 是一个开源项目，我不知道允许它访问我的证书和密钥文件等安全文件是否值得信赖。

这是来自Socket.IO 的代码，由nodeJS 在服务器端运行：

var fs = require('fs');
var https = require('https');

var express = require('express');
var app = express();

var options = {
  key: fs.readFileSync('../chat/file.pem'),
  cert: fs.readFileSync('../chat/file.crt')
};

var server = https.createServer(options, app);
var io = require('socket.io')(server);

Socket.IO 使用安全吗？如果没有，有什么推荐的方法来保证它的安全？

任何帮助将不胜感激。谢谢。

Answer 1

首先，你必须决定你是否信任 socket.io。这是您在服务器上运行的代码。如果它是流氓，它可以对您的服务器环境做各种事情，而不仅仅是您的 SSL 密钥。所以，这根本不是一个 SSL 密钥问题。这只是一个关于你是否信任socket.io的问题。它被许多其他服务器使用。如果有一个不信任其代码的已知理由，那将是相当公开的。所以，我想你可以说，没有众所周知的理由不信任它。

其次，与封闭源代码项目相比，大多数人更信任开源项目，因为源代码可供所有人仔细阅读和研究，并且这些项目中的任何故意流氓或恶意代码都可能被那些关注项目。而对于一个封闭源代码项目，您必须在某种程度上盲目地相信您从中获得封闭源代码工具的公司的意图和技能。没有机会公开审查封闭源代码。我提到这一点是因为您的问题暗示开源代码可能不像其他类型的代码那样安全，我不同意这种暗示。

第三，您实际上根本没有将您的 SSL 密钥交给 socket.io。您将它们传递给 https 模块，以便它可以创建您的服务器。该模块内置在 node.js 中。因此，在这种情况下，您实际上是在决定是否信任 node.js（这也是一个开源项目）。创建服务器后，将已创建的服务器传递给 socket.io 模块，以便它可以附加一个事件侦听器。

Socket.IO 使用安全吗？

对此没有通用的答案。与几乎所有安全事项一样，它完全取决于您要保护什么以及您要保护它免受什么侵害，并且很大程度上取决于您的实施细节。

socket.io，简而言之，就是 webSocket 之上的一个消息传递层。

有哪些推荐的方法来确保它的安全？

同样，对此没有完全通用的答案。保护 socket.io 连接的大部分内容与保护 Web 服务器完全相同。保护您的服务器安装和访问。使用 SSL 保护传输。保护对 SSL 密钥的访问。智能地设计您的应用程序对所有这些工具的使用。找出您要保护的内容以及要保护的内容，并与该领域的专家进行非常详细的安全审查。