CRIME

Compression Ratio Info-leak Made Easy

Erreur connexe

"This server is vulnerable to a CRIME attack. Make sure you have TLSv1.2 protocol enabled on your server and disable SSL/TLS compression." (Ce serveur est vulnérable aux attaques CRIME. Assurez-vous d’avoir désactivé la compression SSL/TLS).

Problème

Le protocole Transport Layer Security (TLS) contient une fonction (compression TLS) qui vous permet de compresser les données qui transitent entre le serveur et le navigateur. Vous activez cette fonction pour réduire les problèmes de bande passante et de latence associés au chiffrement et déchiffrement de grandes quantités de données. La compression TLS est ajoutée au message Hello du client. L’ajout de la compression TLS est facultatif.

Lors d’une attaque CRIME (Compression Ratio Info-leak Made Easy), l’attaquant intercepte le contenu des cookies d’authentification secrets et exploite ces informations pour pirater une session web authentifiée. L’attaquant utilise à la fois le texte clair et les fuites de données de compression TLS pour exploiter la vulnérabilité. L’attaquant leurre le navigateur de sorte qu’il établisse plusieurs connexions au site web. L’attaquant compare ensuite la taille des textes chiffrés envoyés par le navigateur lors de chaque échange afin de déterminer les parties de la communication qui sont chiffrées et pirater la session.

Solution

  • Désactivez la compression des données TLS du serveur (site web) et la compression des données TLS du navigateur.
  • Modifiez le code gzip pour permettre la séparation explicite des contextes de compression en SPDY.

À propos de

DigiCert est le premier fournisseur mondial de certificats numériques à garantie élevée. Il propose des certificats SSL sûrs, des déploiements PKI managés et privés et des certificats pour appareils pour le marché émergent de l’Internet des objets. Depuis notre création il y a près de quinze ans, notre moteur a toujours été l’idée de trouver chaque jour de meilleures solutions. De meilleures solutions pour permettre les authentifications sur Internet. De meilleures solutions pour adapter nos services aux besoins de nos clients. Désormais, le talent et l’expérience de Symantec viennent suppléer notre héritage fait d’innovation pour trouver toujours de meilleures solutions qui permettent de faire avancer toute une industrie et de renforcer la confiance envers les identités et les interactions dans le numérique.

©2019 DigiCert, Inc. Tous droits réservés. DigiCert, et son logo sont des marques déposées de DigiCert, Inc. Symantec et Norton, ainsi que leurs logos respectifs, sont des marques déposées utilisées sous licence de Symantec Corporation. Les autres noms sont potentiellement des marques déposées de leurs propriétaires respectifs.