WebSocket es un protocolo de comunicación de computadoras que proporciona un canal de comunicación bidireccional simultáneo a través de una única conexión de Protocolo de Control de Transmisión (TCP). El protocolo WebSocket fue estandarizado por la IETF como RFC 6455 en 2011. La especificación actual que permite a las aplicaciones web utilizar este protocolo se conoce como WebSockets . [1] Es un estándar vivo mantenido por el WHATWG y un sucesor de la API WebSocket del W3C . [2]
WebSocket es distinto del protocolo HTTP que se utiliza para servir la mayoría de las páginas web. Aunque son diferentes, el RFC 6455 establece que WebSocket "está diseñado para funcionar en los puertos HTTP 443 y 80, así como para admitir intermediarios y servidores proxy HTTP", lo que lo hace compatible con HTTP. Para lograr la compatibilidad, el protocolo de enlace WebSocket utiliza el encabezado HTTP Upgrade [3] para cambiar del protocolo HTTP al protocolo WebSocket.
El protocolo WebSocket permite la interacción full-duplex entre un navegador web (u otra aplicación cliente ) y un servidor web con una sobrecarga menor que las alternativas half-duplex como el sondeo HTTP , lo que facilita la transferencia de datos en tiempo real desde y hacia el servidor. Esto es posible al proporcionar una forma estandarizada para que el servidor envíe contenido al cliente sin que el cliente lo solicite primero, y al permitir que los mensajes se transmitan de ida y vuelta mientras se mantiene abierta la conexión. De esta manera, puede tener lugar una conversación continua bidireccional entre el cliente y el servidor. Las comunicaciones se realizan normalmente a través del puerto TCP número 443 (o 80 en el caso de conexiones no seguras), lo que es beneficioso para entornos que bloquean las conexiones a Internet no web mediante un cortafuegos . Además, WebSocket permite flujos de mensajes sobre TCP. TCP solo se ocupa de flujos de bytes sin un concepto inherente de mensaje. Se han logrado comunicaciones bidireccionales similares entre navegador y servidor de formas no estandarizadas utilizando tecnologías provisionales como Comet o Adobe Flash Player . [4]
La mayoría de los navegadores admiten el protocolo, incluidos Google Chrome , Firefox , Microsoft Edge , Internet Explorer , Safari y Opera . [5]
La especificación del protocolo WebSocket define ws(WebSocket) y wss(WebSocket Secure) como dos nuevos esquemas de identificadores uniformes de recursos (URI) [6] que se utilizan para conexiones cifradas y no cifradas respectivamente. Aparte del nombre del esquema y el fragmento (es decir, #no se admite), el resto de los componentes URI están definidos para utilizar la sintaxis genérica de URI . [7]
WebSocket fue mencionado por primera vez como TCPConnection en la especificación HTML5 , como un marcador de posición para una API de socket basada en TCP. [8] En junio de 2008, Michael Carter dirigió una serie de discusiones que dieron como resultado la primera versión del protocolo conocida como WebSocket. [9] Antes de WebSocket, la comunicación full-duplex del puerto 80 era alcanzable usando canales Comet ; sin embargo, la implementación de Comet no es trivial y, debido al protocolo de enlace TCP y la sobrecarga del encabezado HTTP, es ineficiente para mensajes pequeños. El protocolo WebSocket tiene como objetivo resolver estos problemas sin comprometer los supuestos de seguridad de la web. El nombre "WebSocket" fue acuñado por Ian Hickson y Michael Carter poco después a través de la colaboración en la sala de chat de IRC #whatwg, [10] y posteriormente fue creado para su inclusión en la especificación HTML5 por Ian Hickson. En diciembre de 2009, Google Chrome 4 fue el primer navegador en enviar soporte completo para el estándar, con WebSocket habilitado de forma predeterminada. [11] El desarrollo del protocolo WebSocket fue posteriormente trasladado del grupo W3C y WHATWG al IETF en febrero de 2010, y fue creado en dos revisiones por Ian Hickson. [12]
Después de que el protocolo fue enviado y habilitado de forma predeterminada en varios navegadores, el RFC 6455 fue finalizado bajo la dirección de Ian Fette en diciembre de 2011.
RFC 7692 introdujo una extensión de compresión para WebSocket utilizando el algoritmo DEFLATE por mensaje.
<!DOCTYPE html> < script > // Conectarse al servidor ws = new WebSocket ( "ws://127.0.0.1/scoreboard" ) // Servidor local // ws = new WebSocket("wss://game.example.com/scoreboard") // Servidor remoto ws . onopen = () => { console . log ( "Conexión abierta" ) ws . send ( "Hola servidor, por favor envíame el puntaje del juego de ayer" ) } ws . onmessage = ( event ) => { console . log ( "Datos recibidos" , event . data ) ws . close () // Obtuvimos el puntaje por lo que ya no necesitamos la conexión } ws . onclose = ( evento ) => { console . log ( "Conexión cerrada" , evento . código , evento . motivo , evento . wasClean ) } ws . onerror = () => { console . log ( "Conexión cerrada debido a un error" ) } </ script > desde socket importar socket desde base64 importar b64encode desde hashlib importar sha1MAGIA = b "258EAFA5-E914-47DA-95CA-C5AB0DC85B11"# Crea un socket y escucha en el puerto 80 ws = socket () ws . bind (( "" , 80 )) ws . listen () conn , addr = ws . accept ()# Analizar la solicitud de línea en conn.recv(4096 ) .split ( b " \ r \ n " ) : if line.startswith ( b " Sec - WebSocket -Key" ) : nonce = line.split ( b ":{ ) [ 1 ] { strip ( ) # Formato de respuesta response = f """ \ HTTP/1.1 101 Protocolos de conmutación Actualización: websocket Conexión: Actualización Sec-WebSocket-Accept: { b64encode ( sha1 ( nonce + MAGIC ) . digest ()) . decode () } """conn . enviar ( respuesta . reemplazar ( " \n " , " \r\n " ) . codificar ())mientras True : # decodifica los mensajes del cliente header = conn.recv ( 2 ) FIN = bool ( header [ 0 ] & 0x80 ) # bit 0 assert FIN == 1 , " Solo admitimos mensajes no fragmentados" opcode = header [ 0 ] & 0xf # bits 4-7 assert opcode == 1 or opcode == 2 , "Solo admitimos mensajes de datos" masked = bool ( header [ 1 ] & 0x80 ) # bit 8 assert masked , "El cliente debe enmascarar todos los marcos" payload_size = header [ 1 ] & 0x7f # bits 9-15 assert payload_size <= 125 , "Solo admitimos mensajes pequeños" masking_key = conn . recv ( 4 ) carga útil = bytearray ( conn . recv ( tamaño_carga_útil )) para i en rango ( tamaño_carga_útil ): carga_útil [ i ] = carga_útil [ i ] ^ clave_enmascaradora [ i % 4 ] print ( carga_útil ) Una aplicación web (por ejemplo, un navegador web) puede utilizar la WebSocketinterfaz para conectarse a un servidor WebSocket.
Pasos:
El cliente envía una solicitud HTTP ( método GET , versión ≥ 1.1 ) y el servidor devuelve una respuesta HTTP con el código de estado 101 ( Switching Protocols ) en caso de éxito. Esto significa que un servidor WebSocket puede usar el mismo puerto que HTTP (80) y HTTPS (443) porque el protocolo de enlace es compatible con HTTP. [28]
Ejemplo de solicitud: [38]
GET /chat HTTP / 1.1 Host : server.example.com Actualización : websocket Conexión : Actualización Clave Sec-WebSocket : x3JJHMbDL1EzLkh9GBhXDw== Protocolo Sec-WebSocket : chat, superchat Versión Sec-WebSocket : 13 Origen : http://example.comEjemplo de respuesta:
HTTP / 1.1 101 Protocolos de conmutación Actualización : Conexión websocket : Actualización Sec-WebSocket-Accept : HSmrc0sMlYUkAGmm5OPpG2HaGWk= Protocolo Sec-WebSocket : chat En HTTP, cada línea termina en \r\ny la última línea está vacía.
# Calcular Sec-WebSocket-Accept usando Sec-WebSocket-Key from base64 import b64encode from hashlib import sha1 from os import urandom # key = b64encode(urandom(16)) # El cliente debe hacer esto key = b "x3JJHMbDL1EzLkh9GBhXDw==" # Valor en la solicitud de ejemplo anterior magic = b "258EAFA5-E914-47DA-95CA-C5AB0DC85B11" # Constante de protocolo print ( b64encode ( sha1 ( key + magic ) . digest ())) # Salida: HSmrc0sMlYUkAGmm5OPpG2HaGWk=Una vez establecida la conexión, la comunicación cambia a un protocolo basado en trama binaria que no se ajusta al protocolo HTTP.
Sec-WebSocket-Keyy Sec-WebSocket-Accepttienen como objetivo evitar que un proxy de almacenamiento en caché vuelva a enviar una conversación WebSocket anterior, [39] y no proporciona ninguna autenticación, privacidad o integridad.
Aunque algunos servidores aceptan un encabezado Sec-WebSocket-Key corto Sec-WebSocket-Key, muchos servidores modernos rechazarán la solicitud con el error "encabezado Sec-WebSocket-Key no válido".
Después del protocolo de apertura, el cliente y el servidor pueden enviarse mensajes entre sí en cualquier momento, como mensajes de datos (texto o binarios) y mensajes de control (close, ping, pong). Un mensaje se compone de uno o más marcos.
La fragmentación permite dividir un mensaje en dos o más tramas. Permite enviar mensajes con datos iniciales disponibles pero con una longitud total desconocida. Sin fragmentación, el mensaje completo debe enviarse en una trama, por lo que se necesita la longitud completa antes de poder enviar el primer byte, lo que requiere un búfer. [40] También permite multiplexar varios flujos simultáneamente (por ejemplo, para evitar monopolizar un socket para una única carga útil grande ). [41]
FIN = 1y opcode ≠ 0.FIN = 0y opcode ≠ 0, seguido de cero o más cuadros con FIN = 0y opcode = 0, y terminado por un solo cuadro con FIN = 1y opcode = 0.Se implementa una versión segura del protocolo WebSocket en Firefox 6, [54] Safari 6, Google Chrome 14, [55] Opera 12.10 e Internet Explorer 10. [56] Un informe detallado del conjunto de pruebas de protocolo [57] enumera la conformidad de esos navegadores con aspectos específicos del protocolo.
Una versión más antigua y menos segura del protocolo se implementó en Opera 11 y Safari 5, así como en la versión móvil de Safari en iOS 4.2 . [58] El navegador BlackBerry en OS7 implementa WebSockets. [59] Debido a vulnerabilidades, se deshabilitó en Firefox 4 y 5, [60] y Opera 11. [61] Al usar herramientas para desarrolladores de navegadores, los desarrolladores pueden inspeccionar el protocolo de enlace WebSocket, así como los marcos WebSocket. [62]
A diferencia de las solicitudes HTTP entre dominios habituales, las solicitudes WebSocket no están restringidas por la política del mismo origen . Por lo tanto, los servidores WebSocket deben validar el encabezado "Origen" con los orígenes esperados durante el establecimiento de la conexión, para evitar ataques de secuestro de WebSocket entre sitios (similares a la falsificación de solicitudes entre sitios ), que podrían ser posibles cuando la conexión se autentica con cookies o autenticación HTTP. Es mejor utilizar tokens o mecanismos de protección similares para autenticar la conexión WebSocket cuando se transfieren datos confidenciales (privados) a través de WebSocket. [78] Un ejemplo vivo de vulnerabilidad se vio en 2020 en forma de Cable Haunt .
Las implementaciones de cliente del protocolo WebSocket intentan detectar si el agente de usuario está configurado para usar un proxy cuando se conecta al host y puerto de destino y, si es así, utiliza el método HTTP CONNECT para configurar un túnel persistente.
Aunque el protocolo WebSocket no tiene en cuenta los servidores proxy ni los cortafuegos, cuenta con un protocolo de enlace compatible con HTTP, lo que permite a los servidores HTTP compartir sus puertos HTTP y HTTPS predeterminados (80 y 443 respectivamente) con una puerta de enlace o servidor WebSocket. El protocolo WebSocket define un prefijo ws:// y wss:// para indicar una conexión WebSocket y una conexión WebSocket Secure respectivamente. Ambos esquemas utilizan un mecanismo de actualización HTTP para actualizar al protocolo WebSocket. Algunos servidores proxy son transparentes y funcionan bien con WebSocket; otros impedirán que WebSocket funcione correctamente, lo que provocará que la conexión falle. En algunos casos, puede ser necesaria una configuración adicional del servidor proxy y puede ser necesario actualizar ciertos servidores proxy para que admitan WebSocket.
Si el tráfico WebSocket no cifrado fluye a través de un servidor proxy explícito o transparente sin soporte de WebSockets, es probable que la conexión falle. [79]
Si se utiliza una conexión WebSocket cifrada, el uso de Transport Layer Security (TLS) en la conexión WebSocket Secure garantiza que HTTP CONNECTse emita un comando cuando el navegador esté configurado para utilizar un servidor proxy explícito. Esto configura un túnel, que proporciona comunicación TCP de extremo a extremo de bajo nivel a través del proxy HTTP, entre el cliente WebSocket Secure y el servidor WebSocket. En el caso de servidores proxy transparentes, el navegador no conoce el servidor proxy, por lo que no HTTP CONNECTse envía ningún comando. Sin embargo, dado que el tráfico por cable está cifrado, los servidores proxy transparentes intermedios pueden simplemente permitir el paso del tráfico cifrado, por lo que hay una mayor probabilidad de que la conexión WebSocket tenga éxito si se utiliza WebSocket Secure. El uso del cifrado no está libre de costos de recursos, pero a menudo proporciona la tasa de éxito más alta, ya que viajaría a través de un túnel seguro.
Un borrador de mediados de 2010 (versión hixie-76) rompió la compatibilidad con servidores proxy inversos y puertas de enlace al incluir ocho bytes de datos clave después de los encabezados, pero sin anunciar esos datos en un Content-Length: 8encabezado. [80] Estos datos no fueron reenviados por todos los intermediarios, lo que podría provocar un fallo del protocolo. Borradores más recientes (por ejemplo, hybi-09 [81] ) colocaron los datos clave en un Sec-WebSocket-Keyencabezado, lo que solucionó este problema.
Las conexiones TCP requieren un "cliente" y un "servidor". Flash Player puede crear sockets de cliente.
El cálculo [...] tiene como objetivo evitar que un intermediario de almacenamiento en caché proporcione a un cliente WS una respuesta de un servidor WS almacenada en caché sin interacción real con el servidor WS.