För Chrome utvecklas ett API för direkta TCP- och UDP-kommunikationer

Google har påbörjat implementeringen av ett nytt API i Chrome Raw Sockets, vilket möjliggör för webbapplikationer att etablera direkta nätverksanslutningar med användning av protokollen TCP och UDP. År 2015 gjordes ett försök av W3C-konsortiet att standardisera API:et "TCP and UDP Socket", men deltagarna i arbetsgruppen nådde inte enighet och utvecklingen av detta API lades på is.

Behovet av att lägga till det nya API:et förklaras av möjligheten att interagera med nätverksenheter som använder egna protokoll som arbetar ovanpå TCP och UDP, och som inte stöder interaktion via HTTPS eller WebSockets. Det noteras att API:et Raw Sockets kommer att komplettera de redan existerande lågnivåprogrammeringsgränssnitten WebUSB, WebMIDI och WebBluetooth i webbläsaren, som möjliggör interaktion med lokala enheter.

För att utesluta negativ påverkan på säkerheten kommer API:et Raw Sockets endast att tillåta nätverksanrop som initieras med användarens samtycke och begränsas av en lista över godkända värdar. Användaren måste tydligt bekräfta det första anslutningsförsöket för en ny värd. Med hjälp av en speciell flagga kommer användaren att kunna stänga av visningen av upprepade bekräftelseförfrågningar vid upprepade anslutningar till samma värd. För att förhindra DDoS-attacker kommer intensiteten av förfrågningar via Raw Sockets att begränsas, och sändning av förfrågningar kommer endast att vara möjlig efter interaktion med sidan. UDP-paket som tas emot från värdar som inte godkänts av användaren kommer att ignoreras och inte nå webbapplikationen.

Den initiala implementationen förutsätter inte skapande av lyssnande sockets, men i framtiden utesluts inte tillhandahållande av anrop för att ta emot inkommande anslutningar från localhost eller en lista över kända värdar. Det nämns också behovet av skydd mot attacker "DNS rebinding" (angriparen kan på DNS-nivå ändra IP-adressen för ett godkänt domännamn och få åtkomst till andra värdar). Åtkomst till domäner som löser till 127.0.0.0/8 och interna nätverk planeras att blockeras (förfrågningar till localhost föreslås endast tillåtas när IP-adressen anges tydligt i bekräftelseformuläret).

Bland de risker som kan uppstå vid implementationen av ett nytt API nämns möjligheten att det inte accepteras av andra webbläsartillverkare, vilket kan leda till kompatibilitetsproblem. Utvecklarna av Mozilla Gecko och WebKit har ännu inte formulerat sin ståndpunkt angående en möjlig implementation av API:t Raw Sockets, men företaget Mozilla föreslog tidigare ett liknande API. Om API:t Raw Sockets godkänns i det första steget planeras det att aktiveras i Chrome OS, och senare erbjudas Chrome-användare i andra system.

Webbutvecklare har reagerat positivt på det nya API:t och har kommit med många nya idéer om dess tillämpning inom områden där API:t XMLHttpRequest, WebSocket och WebRTC är otillräckliga (från att skapa webbläsarklienter för SSH, RDP, IMAP, SMTP, IRC och utskriftsprotokoll till utveckling av distribuerade P2P-system med DHT (Distributed Hash Table), stöd för IPFS och interaktion med specifika protokoll för IoT-enheter).

Källa: opennet.ru