Validar el origen del handshake

Con una petición normal hecha desde JavaScript, el navegador aplica la política del mismo origen: una página de otro sitio puede enviar la petición, pero no leer la respuesta salvo que el servidor lo autorice. Con WebSocket no es así. Una página de cualquier sitio puede abrir una conexión hacia el servicio, el navegador adjunta las cookies que correspondan a ese destino según sus reglas, y si el servidor acepta, la página lee y escribe en el canal como si fuera la aplicación legítima.

Lo que el navegador sí hace es poner en el handshake la cabecera Origin con el origen de la página que abre la conexión, y no deja que el JavaScript la falsifique. La norma del protocolo indica que un servidor que no deba aceptar conexiones de cualquier página compare ese valor y responda 403 si no le sirve. CWE tiene una entrada específica para cuando no se hace: CWE-1385, falta de validación del origen en WebSockets.

Abre el laboratorio. ws-origen.js acepta un origen si contiene el nombre del dominio de la empresa en cualquier parte. Esa forma de comparar deja pasar dominios que nadie en Corotos registró, siempre que el texto aparezca dentro. Compara cada origen aceptado en registro-handshakes.txt con dominios-corotos.txt.

El hallazgo no es teórico si el registro muestra que con ese handshake viajó la cookie de alguien y que el canal entregó datos. La cookie del panel está marcada para viajar también en contextos de terceros, según el comentario del código, y eso es lo que hizo posible el resto.

Un origen es esquema, host y puerto. La forma robusta de comprobarlo es tener la lista cerrada de orígenes que deben abrir el canal y comparar el valor completo contra ella, sin búsquedas de subcadenas ni expresiones sin anclar. El código de Corotos tiene un segundo detalle: cuando no hay cabecera de origen, acepta por defecto para no romper a un aliado que se conecta sin navegador.

Un cliente que no es un navegador —un programa, una herramienta de línea de comandos— puede poner en la cabecera de origen lo que quiera. Por eso la norma aclara que esta comprobación no sirve para impedir que esos clientes se conecten. Su papel es otro, y conviene tenerlo claro antes de escribir el informe para que nadie lea el arreglo como un control de autenticación.