ASP.NET Bad Practices: Compression Over Encrypted WebSocket Connection

La aplicación permite una compresión peligrosa.

La aplicación utiliza código que habilita la extensión WebSocket de deflación de mensajes que permite la compresión a través de conexiones cifradas. La habilitación de este tipo de compresión hace que la aplicación esté sujeta a ataques de tipo CRIME y BREACH.

Ejemplo 1: El siguiente código establece DangerousEnableCompression en true para habilitar la extensión "per-message-deflate":

    app.Run(async context => {
        using var websocket = await context.WebSockets.AcceptWebSocketAsync(new WebSocketAcceptContext() { DangerousEnableCompression = true });
        await websocket.SendAsync(...);
        await websocket.ReceiveAsync(...);
        await websocket.CloseAsync(WebSocketCloseStatus.NormalClosure, null, default);
    });
    

Ejemplo 2: El siguiente código utiliza DangerousDeflateOptions para configurar las opciones para la extensión "per-message-deflate":

    using ClientWebSocket ws = new() {
        Options = {
            CollectHttpResponseDetails = true,
            DangerousDeflateOptions = new WebSocketDeflateOptions() {
                ClientMaxWindowBits = 10,
                ServerMaxWindowBits = 10
            }
        }
    };