ASP.NET Bad Practices: Compression Over Encrypted WebSocket Connection

이 응용 프로그램은 위험한 압축을 활성화합니다.

응용 프로그램은 암호화된 연결을 통한 압축을 허용하는 permessage-deflate WebSocket 확장을 활성화하는 코드를 사용합니다. 이러한 유형의 압축을 활성화하면 응용 프로그램이 CRIME 및 BREACH 유형의 공격을 받을 수 있습니다.

예제 1: 다음 코드는 'per-message-deflate'확장을 활성화하기 위해 DangerousEnableCompression을 true로 설정합니다.

    app.Run(async context => {
        using var websocket = await context.WebSockets.AcceptWebSocketAsync(new WebSocketAcceptContext() { DangerousEnableCompression = true });
        await websocket.SendAsync(...);
        await websocket.ReceiveAsync(...);
        await websocket.CloseAsync(WebSocketCloseStatus.NormalClosure, null, default);
    });
    

예제 2: 다음 코드는 'per-message-deflate' 확장 옵션을 설정하기 위해 DangerousDeflateOptions를 사용합니다.

    using ClientWebSocket ws = new() {
        Options = {
            CollectHttpResponseDetails = true,
            DangerousDeflateOptions = new WebSocketDeflateOptions() {
                ClientMaxWindowBits = 10,
                ServerMaxWindowBits = 10
            }
        }
    };