Socket.io - 他们的会话管理有多安全？

Question

我目前正在开发一个 Web 应用程序，并想在其中引入一些基本的安全措施。在这种情况下，我正在调查 socket.io 用来处理用户会话的普通方法是否安全。从this article 我发现socket.io 收到的每个连接都会生成一个ID（即使它只是一个新的浏览器选项卡）。我想这可以看作是一个非常基本的会话 ID。现在我的问题是，这个 ID 是如何生成的，它是否足够随机以确保没有人可以通过猜测（无论是通过暴力破解还是某些统计数据）这样的活跃用户 ID 来劫持会话？

正如一些人要求澄清的那样：我试图避免攻击者劫持会话。这是因为攻击者可以轻松地暴力破解会话 ID，使用一些统计信息猜测它，因为它不够随机，或者能够使用网络嗅探/XSS 窃取它来窃取它存储的 cookie。

Answer 1

从您的问题中不清楚您要实施什么“安全性”或您要保护什么。至于 sessionid，下面是它的生成方式，然后您可以决定这是否满足您的需求。

首先，socket.io 使用名为.generateId() 的方法来创建新 ID。它有一个默认实现（我们稍后会介绍），但如果您愿意，也可以根据doc here 将其替换为您的机制。

那么，这里是default implementation：

    generateId(req) {
      return base64id.generateId();
    }

显然只是调用使用此代码的base64id module：

Base64Id.prototype.generateId = function () {
  var rand = Buffer.alloc(15); // multiple of 3 for base64
  if (!rand.writeInt32BE) {
    return Math.abs(Math.random() * Math.random() * Date.now() | 0).toString()
      + Math.abs(Math.random() * Math.random() * Date.now() | 0).toString();
  }
  this.sequenceNumber = (this.sequenceNumber + 1) | 0;
  rand.writeInt32BE(this.sequenceNumber, 11);
  if (crypto.randomBytes) {
    this.getRandomBytes(12).copy(rand);
  } else {
    // not secure for node 0.4
    [0, 4, 8].forEach(function(i) {
      rand.writeInt32BE(Math.random() * Math.pow(2, 32) | 0, i);
    });
  }
  return rand.toString('base64').replace(/\//g, '_').replace(/\+/g, '-');
};

如果在存在crypto 模块的nodejs 上运行服务器，这将调用this.getRandomBytes()，并且该代码包含在您可以查看的同一模块中。它使用crypto.randomBytes(12)。

然后，您可以自行决定这是否满足您的安全需求。或者，您可以将其替换为满足您需求的不同 id 生成器。仅供参考，一个 12 字节的随机数很难猜到。这是 256 提升到 12 次方大小的 id 空间。 256^12 等于 7.9228163e+28。