Seguridad en nodejs

[patilanz]

Hola quiero saber como protegerme en nodejs ya que es muy facil parar al servidor...
bastaria con realizar muchas conexiones de socket.io para que salga TOO MANY CONECTIONS
O si el usuario manipula algun dato incorrecto(de esto creo que se protegerme) para producir error.

Algunos consejos??

[utan]

Hola,
Primero, asegura los dominios se pueden conectar,
utiliza el handshake de socket.io , todo el test debes hacerlo en el servidor, auque manipulen algo en cliente que suba el nivel en el cliente el servidor tiene que probar sus propiedades en el mismo server..

Usa session en el server si lo creastes en php puedes testearlo en el handshake..

solo unas ideas , alguien mas que agregue seria bueno.

[patilanz]

Iniciado por utan

Hola,
Primero, asegura los dominios se pueden conectar,
utiliza el handshake de socket.io , todo el test debes hacerlo en el servidor, auque manipulen algo en cliente que suba el nivel en el cliente el servidor tiene que probar sus propiedades en el mismo server..

Usa session en el server si lo creastes en php puedes testearlo en el handshake..

solo unas ideas , alguien mas que agregue seria bueno.

Que quieres que los dominios se pueden conectar?? Los usuarios se conectan desde mi ip ya que no tengo dominio.
Lo de handshake de socket.io lo voy a investigar mas pero yo suelo utilizar una variable que asigno a un socket cuando se conecte con id unico y luego asi lo identifico. El socket no se puede manipular o si?
Lo de comprobar todas las propiedades en el servidor, ahora mismo estoy creando un programa de dibujo asincronizado que funciona con puntos en canvas. Los puntos estan en varios arrays multidimensonales y basicamente se guardan en el cliente y este cada vez que crea un nuevo punto lo envia al servidor y este a los demas en el room. Pero no se guarda nada en el servidor para no hacer mas carga.
Ademas utilizo un login mysql pero aun queda el problema de TOO MANY CONECTIONS
Si hay alguna manera de bloquear el haceso si se reciben demasiados.

Saludos

@Edit: el programa de dibujo era solo ejemplo del peso que puede hacer al servidor.

[utan]

Los puntos estan en varios arrays multidimensonales y basicamente se guardan en el cliente y este cada vez que crea un nuevo punto lo envia al servidor y este a los demas en el room. Pero no se guarda nada en el servidor para no hacer mas carga.

Lo que aria es actualizar un array o un objeto en el server y mandarlos a todos los conectado, asi tienes la copia master que no puede ser manipulada y la copia del cliente que si puede ser manipulada, cuando quieras comprobar lo haces con la copia del server y no con la del cliente asi si la copia del cliente fue manipulada se encontrara con la del server que es la real..

Que vayas a extresar a node.js con eso no lo creo... es mas importante la memoria en node.js que los ciclos de CPU..

Ademas utilizo un login mysql pero aun queda el problema de TOO MANY CONECTIONS
Si hay alguna manera de bloquear el haceso si se reciben demasiados.

Hay es donde el hanshake te sirve, determina si el cliente ya esta conectado y dropea la conexión si lo esta..

[patilanz]

Hola que quieres decir con si el cliente ya esta conectado y si lo esta dropear la conecion?? Ya que para enviar peticiones en socket.io debe de estar conectado, y si envía demasiadas el servidor da este error y para.

Otra cosa seria el uso de eval() . Simplemente para destacar.

[utan]

Iniciado por patilanz

Hola que quieres decir con si el cliente ya esta conectado y si lo esta dropear la conecion?? Ya que para enviar peticiones en socket.io debe de estar conectado, y si envía demasiadas el servidor da este error y para.

Otra cosa seria el uso de eval() . Simplemente para destacar.

Me refiero a que si el usuario abre otro browser tab tu no quieres eso.. Ya esta conectado.. no le permites hacer nada ya que hay una instancia de el en el servidor.

Cual es la pregunta con el eval?

No lo uses a menos que venga de un lugar seguro,no pasaría nada que venga del cliente al eval();

[patilanz]

Iniciado por utan

Me refiero a que si el usuario abre otro browser tab tu no quieres eso.. Ya esta conectado.. no le permites hacer nada ya que hay una instancia de el en el servidor.

Cual es la pregunta con el eval?

No lo uses a menos que venga de un lugar seguro,no pasaría nada que venga del cliente al eval();

Lo de dos o mas tabs esto se hace con los handshake ? No he tenido mucho tiempo para ver los.
Luego lo de eval simplemente quería destacar si hay mas gente leyendo el post.

Y una cosa, son posibles los ataques CSRF en nodejs?

[utan]

Iniciado por patilanz

Lo de dos o mas tabs esto se hace con los handshake ? No he tenido mucho tiempo para ver los.
Luego lo de eval simplemente quería destacar si hay mas gente leyendo el post.

Y una cosa, son posibles los ataques CSRF en nodejs?

Si en el handshake o después cuando le das propiedades al usuario... ejemplo tenes un hash usando sha256 y el value es el nombre del usuario con el ip de el encriptado o en plain text..

Lo del CSRF es nuevo para mi, pero al parecer si entiendo bien todo va con dejar que el usuario postee texto trickeando el browser para hacer un http request a otra pagina o el mismo dominio mientras el usuario este identificado en su cookie
con ocurrencias usando una imagen..

Pero como todo, en seguridad web no confíes en inputs de los clientes todo escapalo .. mejor que se cargue el servidor a que te hackeen o lo hagan a tus clientes..

[patilanz]

Hola se me ocurrio otra cosa, como detectas el proxy si esta usando un usuario ya que asi facilmente se puede conectar desde un ordenador 2 o mas veces ??

[joshua1983]

Recuerda que Node.js esta en tu Backend, asi que antes de node puedes colocar cualquier cosa de seguridad, un firewall, un squid. Usualmente colocan un nginx de frente para el contenido estatico y ocultacion de puertos.

Saludos