🌊

Direct Sockets API

2021/04/06に公開

ブラウザで生ソケットを使えるようにしようという話について簡単に調べました。
なぜならブラウザにそんなもの搭載して大丈夫かよと思ったからです。

参考資料

ブラウザから

とかに繋ぐために必要らしいです。
『Webアプリは、ユーザーがそのシステムを変更または交換する必要なしに、レガシーシステムと通信できる必要があります』 だそうです。
せやろか。

これまでは、これらの用途のためにはこのようなプラグインが使われてきました。

ブラウザがこれらのプラグインを排除しようと思ったらブラウザに生ソケットが必要だという主張のようです。

どこかのサイトを訪れただけで、LAN内のセキュリティが薄いサーバーにアクセスされたらやばくないだろうか。
CORS的な機能はちゃんとあるのだろうか。

ブラウザがダイアログを出してユーザーに接続先のIPやホストとポート番号を入力させるらしいです。ちょっと不便ですね。
一度入力したIPやホストは、その後確認なしに使えるようです。

ユーザーはIPだけでなくホスト名を入力することができますが、
ただし、プライベートIPアドレスに解決されるホスト名は無効になるようです。

例えば僕はtanide.netというドメインを持っています。
僕がDNSに fishing.tanide.net: 192.168.0.10 と登録しておいたとして、
ユーザーがダイアログにfishing.tanide.netと入力した場合は無効です。

ただし、ホスト名が.localの場合は例外で許可されています。
この場合はmDNSで解決されるそうです。

ユーザーがボタンをクリックしたりするまで使えないということだと思います。
これはhistory.pushも同じですね。

iframe等からは使えないそうです。
デフォルトではというのがどういう意味なのかはわかりませんでした。
CSP等で有効にできるのでしょうか。

このサンプルコードを見ると、アプリからリモートアドレスを指定できるようです。

これはおそらくデフォルト値をアプリが指定できるということだと思います。
ということは、攻撃対象のローカルネットワーク内の脆弱なサーバーのIPがわかっている場合、
そのIPをデフォルト値として設定しておけば、ワンチャンでクリックミスを狙えるのではないでしょうか。

いかがでしたか？(ry