Là mặt nạ thực sự cần thiết khi gửi từ máy khách Websocket

Websocket RFC hiện tại yêu cầu các máy khách websocket che giấu tất cả dữ liệu trong các khung khi gửi (nhưng máy chủ không bắt buộc). Lý do giao thức được thiết kế theo cách này là để ngăn dữ liệu khung bị thay đổi bởi các dịch vụ độc hại giữa máy khách và máy chủ (proxy, v.v.). Tuy nhiên, khóa mặt nạ vẫn được biết đến với các dịch vụ như vậy (nó được gửi trên cơ sở mỗi khung ở đầu mỗi khung)

Tôi có sai không khi cho rằng các dịch vụ như vậy vẫn có thể sử dụng khóa để vạch mặt, thay đổi và hơn là che lại nội dung trước khi chuyển khung sang điểm tiếp theo? Nếu tôi không sai, làm thế nào để khắc phục lỗ hổng được cho là này?

Mục 10.3 của RFC giải thích chính xác lý do tại sao cần phải đeo mặt nạ. Đó là một phản ứng rất cụ thể đối với một kỹ thuật hack cụ thể. Vấn đề mà nó đang cố gắng giải quyết được mô tả trong một bài báo năm 2010 có tên là Nói với chính mình để giải trí và kiếm lợi nhuận bởi một số người bảo mật vận tải Internet sắc nét nhất.

Mặt nạ máy khách đến máy chủ được sử dụng bởi giao thức Websocket để ngăn các proxy vô tình xử lý dữ liệu WebSockets như một yêu cầu HTTP có thể lưu trong bộ nhớ cache. Bạn có thể tranh luận liệu điều đó có làm xáo trộn các proxy ngu ngốc (và tôi nghĩ là vậy), nhưng đó là lý do.

Tạo mặt nạ là vô dụng với wss://aka WebSockets qua SSL / TLS. Vì nên sử dụng SSL / TLS bất cứ khi nào có thể, bạn có thể kết luận hợp lý rằng mặt nạ bao gồm trường hợp sử dụng cận biên.