WebSocketには暗号化されていないws://と、TLS暗号化されたwss://の2つのスキームがあります。

プロトコル選択の戦略

開発環境

// ローカル開発では ws:// も許可
const websocketUrl = process.env.NODE_ENV === 'development' 
  ? 'ws://localhost:8080/websocket'
  : 'wss://api.production.com/websocket';

本番環境

// 本番環境では必ず wss:// を使用
const websocketUrl = 'wss://api.production.com/websocket';

// TLS設定の強化
const tlsOptions = {
  minVersion: 'TLSv1.2',
  ciphers: [
    'ECDHE-RSA-AES128-GCM-SHA256',
    'ECDHE-RSA-AES256-GCM-SHA384',
    'ECDHE-RSA-AES128-SHA256',
    'ECDHE-RSA-AES256-SHA384'
  ].join(':'),
  honorCipherOrder: true
};

証明書管理の高度な実装

1. 証明書の自動更新（Let's Encrypt）

実行環境

Node.js: 18.x 以上
必要パッケージ: ws, https, fs, crypto
TLS証明書: Let's Encrypt または商用CA
実行方法: sudo node secure-websocket-server.js

const https = require('https');
const WebSocket = require('ws');
const fs = require('fs');
const path = require('path');

class AutoRenewingWebSocketServer {
  constructor() {
    this.certPath = '/etc/letsencrypt/live/example.com';
    this.server = null;
    this.wss = null;
    this.startServer();
    
    // 証明書の定期チェック（毎日）
    setInterval(() => this.checkAndRenewCertificate(), 24 * 60 * 60 * 1000);
  }

  loadCertificates() {
    try {
      return {
        key: fs.readFileSync(path.join(this.certPath, 'privkey.pem')),
        cert: fs.readFileSync(path.join(this.certPath, 'fullchain.pem'))
      };
    } catch (error) {
      console.error('Failed to load certificates:', error);
      throw error;
    }
  }

  startServer() {
    const credentials = this.loadCertificates();
    
    this.server = https.createServer({
      ...credentials,
      // セキュリティ強化設定
      secureProtocol: 'TLSv1_2_method',
      honorCipherOrder: true,
      ciphers: [
        'ECDHE-RSA-AES128-GCM-SHA256',
        'ECDHE-RSA-AES256-GCM-SHA384',
        'ECDHE-RSA-AES128-SHA256',
        'ECDHE-RSA-AES256-SHA384',
        'ECDHE-RSA-AES256-SHA'
      ].join(':')
    });

    this.wss = new WebSocket.Server({ 
      server: this.server,
      verifyClient: this.verifyClient.bind(this)
    });

    this.server.listen(443, () => {
      console.log('Secure WebSocket server started on port 443');
    });
  }

  async checkAndRenewCertificate() {
    try {
      const certInfo = await this.getCertificateInfo();
      const daysUntilExpiry = Math.floor(
        (certInfo.validTo - Date.now()) / (1000 * 60 * 60 * 24)
      );

      if (daysUntilExpiry <= 30) {
        console.log(`Certificate expires in ${daysUntilExpiry} days. Renewing...`);
        await this.renewCertificate();
        this.restartServer();
      }
    } catch (error) {
      console.error('Certificate check failed:', error);
    }
  }

  verifyClient(info) {
    // TLS証明書の追加検証
    const cert = info.req.socket.getPeerCertificate();
    
    if (cert && cert.subject) {
      console.log('Client certificate subject:', cert.subject);
      // クライアント証明書ベースの認証も実装可能
    }

    return true; // 基本的な検証はTLS層で完了
  }
}

2. Perfect Forward Secrecy (PFS) の実装

const tlsConfig = {
  // PFSを提供する暗号スイートのみ使用
  ciphers: [
    'ECDHE-RSA-AES128-GCM-SHA256',
    'ECDHE-RSA-AES256-GCM-SHA384',
    'ECDHE-ECDSA-AES128-GCM-SHA256',
    'ECDHE-ECDSA-AES256-GCM-SHA384',
    'DHE-RSA-AES128-GCM-SHA256',
    'DHE-RSA-AES256-GCM-SHA384'
  ].join(':'),
  
  // 楕円曲線の指定
  ecdhCurve: 'secp384r1:prime256v1',
  
  // DHパラメータファイル（2048bit以上）
  dhparam: fs.readFileSync('/path/to/dhparam.pem'),
  
  // セッション再利用の制限
  sessionTimeout: 300, // 5分
  
  // HSTSヘッダーの自動設定
  requestCert: false,
  rejectUnauthorized: false
};

企業環境でのWebSocket実装時に確認すべきセキュリティ項目の包括的なチェックリストです。

設計・実装段階

認証・認可

• 強力な認証メカニズム（JWT、OAuth 2.0等）の実装
• ロールベースアクセス制御（RBAC）の設計
• 認証トークンの適切な有効期限設定
• 多要素認証（MFA）の検討・実装
• 認証状態の定期的な再確認メカニズム

暗号化・通信セキュリティ

• 本番環境でのwss://（TLS暗号化）の強制
• TLS 1.2以上の使用（TLS 1.3推奨）
• Perfect Forward Secrecy対応暗号スイートの選択
• 証明書の自動更新システムの構築
• HSTS（HTTP Strict Transport Security）の実装

入力検証・データ保護

• 包括的な入力検証・サニタイゼーション
• SQLインジェクション対策の実装
• XSS（Cross-Site Scripting）対策の実装
• CSRF（Cross-Site Request Forgery）対策の実装
• 機密データの暗号化保存

運用・監視段階

レート制限・DDoS対策

• 接続数制限の実装（全体・IP別）
• メッセージレート制限の実装
• メッセージサイズ制限の設定
• 異常パターンの検知・自動ブロック
• 負荷分散とスケーリング戦略

監視・ログ・監査

• 包括的なセキュリティログの実装
• リアルタイム異常検知システム
• 定期的なセキュリティ監査の実施
• インシデント対応手順の策定
• ログの改ざん防止措置

コンプライアンス・ガバナンス

規制対応

• GDPR、CCPA等のデータ保護規制への準拠
• SOC 2、ISO 27001等のセキュリティ基準への対応
• 業界固有の規制要件の確認・対応
• データ主体の権利（削除、訂正等）への対応
• 国境を越えるデータ転送の規制確認

開発・運用プロセス

• セキュアコーディングガイドラインの策定
• 定期的なセキュリティコードレビュー
• 侵入テスト・脆弱性診断の実施
• セキュリティインシデント対応計画の策定
• スタッフへのセキュリティ教育・訓練