CRIME

Proporción de compresión información-filtración facilitada

Error relacionado

"Este servidor es vulnerable a un ataque CRIME. Asegúrese de activar el protocolo TLSv1.2 en su servidor y de desactivar la compresión SSL/TLS."

Problema

El protocolo Seguridad de la capa de transporte (TLS) contiene una función (compresión TLS) que le permite comprimir los datos que pasan entre el servidor y el navegador. Use esta función para reducir los problemas de ancho de banda y de latencia vinculados con cifrar y descifrar grandes cantidades de datos. La compresión TLS se agrega al mensaje de hola del cliente. Incluir la compresión TLS es opcional.

En un ataque Proporción de compresión información-filtración facilitada, el atacante recupera el contenido de las cookies de autenticación secreta y usa esta información para interceptar una sesión web autenticada. El atacante usa una combinación de inserción de texto sin formato y filtración de datos de compresión TLS para aprovechar la vulnerabilidad. El atacante atrae al navegador para que haga varias conexiones al sitio web. Luego, el atacante compara el tamaño de ciphertexts enviado por el navegador durante cada intercambio para determinar las partes de la comunicación cifrada e interceptar la sesión.

Solución

  • Desactive la compresión de datos TLS del servidor (sitio web) y la compresión de datos TLS del navegador.
  • Modifique gzip para permitir la separación explícita de los contextos de compresión en SPDY.