Формат WebSocket-фрейма: opcodes, маскирование, фрагментация

После WebSocket-handshake HTTP-парсер исчезает. По проводу идёт компактный бинарный формат, несущий каждое сообщение — текст, бинарные данные, keepalive-пинги и graceful close — при накладных расходах всего от 2 байт. Понимание этого формата отделяет «как-то работает» от «точно знаю, что сломалось».

Анатомия заголовка фрейма

WebSocket-фрейм начинается с 2 обязательных байт, за которыми следуют опциональные поля расширения длины и masking-ключа, а затем сам payload:

 0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-------+-+-------------+-------------------------------+
|F|R|R|R| opcode|M| Payload len |    Extended payload length    |
|I|S|S|S|  (4)  |A|     (7)    |             (16/64)           |
|N|V|V|V|       |S|             |   (if payload len==126/127)   |
| |1|2|3|       |K|             |                               |
+-+-+-+-+-------+-+-------------+-------------------------------+
|     Masking-key (если MASK=1, 4 байта)                        |
+---------------------------------------------------------------+
|                    Payload data                               |
+---------------------------------------------------------------+

Байт 1:

• FIN (бит 7) — 1 означает, что это последний (или единственный) фрагмент сообщения.
• RSV1-3 (биты 6-4) — зарезервированы для расширений (например, permessage-deflate выставляет RSV1=1).
• Opcode (биты 3-0) — тип данных фрейма:

Байт 2:

• MASK (бит 7) — 1 = payload XOR-маскирован (клиент→сервер всегда; сервер→клиент никогда).
• Длина payload (биты 6-0):
  • 0–125 — реальная длина.
  • 126 — следующие 2 байта (uint16) содержат реальную длину.
  • 127 — следующие 8 байт (uint64) содержат реальную длину.

Итоговые накладные расходы фрейма:

• Маленький фрейм сервер→клиент: 2 байта только заголовок.
• Маленький фрейм клиент→сервер: 2 байта заголовок + 4 байта masking-ключ = 6 байт.

Почему клиентские фреймы должны маскироваться

Маскирование — не шифрование, а защита от cache-poisoning. Вот атака, которую оно предотвращает:

Вредоносный JavaScript на site-a.com открывает WebSocket-соединение к промежуточному прокси. Затем отправляет байты, которые выглядят как корректный HTTP-ответ. Наивный stateless-прокси воспринимает эти байты как HTTP и возвращает их другим клиентам — отравляя кеш.

С маскированием клиент XOR-ирует каждый байт payload с 4-байтным случайным ключом из заголовка фрейма:

masked_byte[i] = payload[i] XOR mask_key[i % 4]

Получатель XOR-ирует обратно тем же ключом, восстанавливая исходный payload. Поскольку masking-ключ случаен для каждого фрейма, JavaScript на вредоносном сайте не может заранее сконструировать байты, которые одновременно выглядели бы как HTTP-ответ И корректно раскодировались под XOR. Атака становится нереализуемой.

Серверные фреймы не маскируются, потому что JavaScript на site-a.com всё равно не может прочитать сырые байты ответа с site-b.com (same-origin policy это блокирует).

Фрагментация и continuation-фреймы

Большое сообщение можно разбить на несколько фреймов. Правила:

1. Первый фрагмент: реальный opcode (0x1 или 0x2), FIN=0.
2. Средние фрагменты: opcode 0x0 (continuation), FIN=0.
3. Последний фрагмент: opcode 0x0, FIN=1.

Получатель собирает фрагменты по порядку. Control-фреймы (ping, pong, close) не могут фрагментироваться и ограничены 125 байтами; они могут приходить между фрагментами данных.

Control-фреймы: ping, pong, close

Ping (0x9): keepalive-проба. Получатель обязан ответить pong с тем же payload. Прокси часто имеют idle timeout (обычно 60 секунд); ping каждые 25–30 секунд сбрасывает таймер прокси и поддерживает соединение живым.

Pong (0xA): обязательный ответ на ping. Можно слать без запроса как односторонний heartbeat.

Close (0x8): инициирует closing-handshake. Тело содержит опциональный 2-байтный код статуса и UTF-8 причину. Стандартные коды:

После отправки close-фрейма каждая сторона должна дождаться ответного close-фрейма, прежде чем закрывать TCP-соединение.