CRIME

"This server is vulnerable to a CRIME attack. Make sure you have TLSv1.2 protocol enabled on your server and disable SSL/TLS compression." (Ce serveur est vulnérable aux attaques CRIME. Assurez-vous d’avoir désactivé la compression SSL/TLS).

Le protocole Transport Layer Security (TLS) contient une fonction (compression TLS) qui vous permet de compresser les données qui transitent entre le serveur et le navigateur. Vous activez cette fonction pour réduire les problèmes de bande passante et de latence associés au chiffrement et déchiffrement de grandes quantités de données. La compression TLS est ajoutée au message Hello du client. L’ajout de la compression TLS est facultatif.

Lors d’une attaque CRIME (Compression Ratio Info-leak Made Easy), l’attaquant intercepte le contenu des cookies d’authentification secrets et exploite ces informations pour pirater une session web authentifiée. L’attaquant utilise à la fois le texte clair et les fuites de données de compression TLS pour exploiter la vulnérabilité. L’attaquant leurre le navigateur de sorte qu’il établisse plusieurs connexions au site web. L’attaquant compare ensuite la taille des textes chiffrés envoyés par le navigateur lors de chaque échange afin de déterminer les parties de la communication qui sont chiffrées et pirater la session.

• Désactivez la compression des données TLS du serveur (site web) et la compression des données TLS du navigateur.
• Modifiez le code gzip pour permettre la séparation explicite des contextes de compression en SPDY.