ASP.NET Bad Practices: Compression Over Encrypted WebSocket Connection

このアプリケーションは、危険な圧縮を有効にします。

アプリケーションは、暗号化された接続を介した圧縮を可能にする permessage-deflate WebSocket 拡張機能を有効にするコードを使用します。このタイプの圧縮を有効にすると、アプリケーションは CRIME タイプや BREACH タイプの攻撃を受ける危険にさらされます。

例 1: 次のコードは、"per-message-deflate" 拡張機能を有効にするために、DangerousEnableCompression を true に設定します。

    app.Run(async context => {
        using var websocket = await context.WebSockets.AcceptWebSocketAsync(new WebSocketAcceptContext() { DangerousEnableCompression = true });
        await websocket.SendAsync(...);
        await websocket.ReceiveAsync(...);
        await websocket.CloseAsync(WebSocketCloseStatus.NormalClosure, null, default);
    });
    

例 2: 次のコードは、DangerousDeflateOptions を使用して、"per-message-deflate" 拡張機能のオプションを設定します。

    using ClientWebSocket ws = new() {
        Options = {
            CollectHttpResponseDetails = true,
            DangerousDeflateOptions = new WebSocketDeflateOptions() {
                ClientMaxWindowBits = 10,
                ServerMaxWindowBits = 10
            }
        }
    };