โปรโตคอล WebSocket ใหม่มีความแตกต่างอย่างไร

Eiji Kitamura

มีการอัปเดตข้อกำหนดโปรโตคอล WebSocket เมื่อเร็วๆ นี้เพื่อแก้ไขปัญหาด้านความปลอดภัยก่อนหน้านี้ และมีความเสถียรเป็นส่วนใหญ่ ด้านล่างนี้เป็นสรุปการเปลี่ยนแปลงที่เกี่ยวข้อง พร้อมทั้งหมายเหตุบางส่วนเกี่ยวกับการใช้งานในปัจจุบัน

มีอะไรเปลี่ยนแปลงบ้างนับตั้งแต่ WebSocket HyBi 00

• เปลี่ยนรูปแบบเฟรมโปรโตคอลแล้ว HyBi 00 เคยใช้ "0x00" เป็นส่วนหัวและ "0xff" สำหรับหางของแต่ละเฟรม ตอนนี้ HyBi 10 ใช้รูปแบบใหม่ดังต่อไปนี้

      0                   1                   2                   3
      0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
     +-+-+-+-+-------+-+-------------+-------------------------------+
     |F|R|R|R| opcode|M| Payload len |    Extended payload length    |
     |I|S|S|S|  (4)  |A|     (7)     |             (16/63)           |
     |N|V|V|V|       |S|             |   (if payload len==126/127)   |
     | |1|2|3|       |K|             |                               |
     +-+-+-+-+-------+-+-------------+ - - - - - - - - - - - - - - - +
     |     Extended payload length continued, if payload len == 127  |
     + - - - - - - - - - - - - - - - +-------------------------------+
     |                               |Masking-key, if MASK set to 1  |
     +-------------------------------+-------------------------------+
     | Masking-key (continued)       |          Payload Data         |
     +-------------------------------- - - - - - - - - - - - - - - - +
     :                     Payload Data continued ...                :
     + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
     |                     Payload Data continued ...                |
     +---------------------------------------------------------------+

แก้ไขปัญหาด้านความปลอดภัยแล้ว

• เพิ่ม Sec-WebSocket-Key และ Sec-WebSocket-Accept แทนแป้น 3 แป้นของ HyBi 00 เบราว์เซอร์จะให้ตัวเลขที่สร้างขึ้นแบบสุ่มแก่ Sec-WebSocket-Key จากนั้นเซิร์ฟเวอร์จะใช้ GUID เฉพาะ (258EAFA5-E914-47DA-95CA-C5AB0DC85B11) ของโปรโตคอล WebSocket และ SHA1 / BASE64 ฯลฯ เพื่อแสดงผล Sec-WebSocket-Accept เพื่อให้เบราว์เซอร์ยืนยันได้ว่าเข้าใจ WebSocket ซึ่งเป็นการป้องกันการโจมตีแบบข้ามโปรโตคอล
• ในแต่ละเฟรม คุณจำเป็นต้องมีการมาสก์เฟรม เพื่อป้องกันการใช้ข้อมูลแคชบนพร็อกซี มีการเพิ่ม Sec-WebSocket-Origin เพื่อป้องกันการเข้าถึงจากสคริปต์ที่ผู้ให้บริการไม่รู้จัก
• มีการเพิ่ม Sec-WebSocket-Origin แทนคีย์ต้นทางของ HyBi 00 เพื่อป้องกันการเข้าถึงสคริปต์ที่ผู้ให้บริการไม่รู้จัก โปรดทราบว่านี่เป็นเพียง "Origin" ใน HyBi 11

การเปลี่ยนแปลง JS API

• subprotocol สามารถเป็นอาร์เรย์ได้แล้ว ทำให้เป็นลายเซ็นเมธอดของ new WebSocket(String url, Array subprotocol)
• แอตทริบิวต์ .protocol [สตริง]
• แอตทริบิวต์ .binaryType [Blob|ArrayBuffer]
• .extension [สตริง]
• เพิ่มรหัสสถานะและเหตุผล (สาเหตุที่การเชื่อมต่อถูกปิด) ไปยัง CloseEvent แล้ว มีการเปลี่ยนแปลงฟังก์ชัน close() ให้ยอมรับอาร์กิวเมนต์ 2 ตัวนี้ด้วย

ส่วนขยาย

• เพิ่ม Sec-WebSocket-Extensions แล้ว ส่วนขยายที่เสนอ ได้แก่
• deflate-frame ทำให้เฟรมบีบอัดที่ต้นทางและดึงข้อมูลที่ปลายทาง
• x-google-muxเพื่อรองรับการมัลติเพล็กซ์แต่ยังอยู่ในขั้นเริ่มต้น

HyBi 00 กับ HyBi 10 ในทั้งเซิร์ฟเวอร์และเบราว์เซอร์ต่างๆ ร่วมด้วยหรือไม่

• การใช้งานเซิร์ฟเวอร์จะรองรับทั้ง HyBi 00 และ HyBi 10 ได้โดยดูที่ส่วนหัว HTTP ของแฮนด์เชค อย่างไรก็ตาม เราไม่แนะนำให้รองรับ HyBi 00 เนื่องจากเป็นที่ทราบว่ามีความเสี่ยง
• WebSocket JavaScript API มีความคล้ายคลึงกันอย่างมากในเวอร์ชันเก่าและเวอร์ชันใหม่ แต่อย่างที่กล่าวไว้ข้างต้น เราไม่แนะนำให้รองรับ HyBi 00 เนื่องจากเป็นที่ทราบว่ามีความเสี่ยง

เบราว์เซอร์ใดรองรับ HyBi 10 บ้าง

• Chrome 14 รองรับโปรโตคอล HyBi 10 แม้ว่าการเปลี่ยนแปลง WebSocket JavaScript API ที่กล่าวถึงข้างต้นจะยังคงอยู่ นอกจากนี้ Firefox 7 มีแผนจะสนับสนุน HyBi 10 ด้วย