CRIME

Compression Ratio Info-leak Made Easy

Erreur connexe

"This server is vulnerable to a CRIME attack. Make sure you have TLSv1.2 protocol enabled on your server and disable SSL/TLS compression." (Ce serveur est vulnérable aux attaques CRIME. Assurez-vous d’avoir désactivé la compression SSL/TLS).

Problème

Le protocole Transport Layer Security (TLS) contient une fonction (compression TLS) qui vous permet de compresser les données qui transitent entre le serveur et le navigateur. Vous activez cette fonction pour réduire les problèmes de bande passante et de latence associés au chiffrement et déchiffrement de grandes quantités de données. La compression TLS est ajoutée au message Hello du client. L’ajout de la compression TLS est facultatif.

Lors d’une attaque CRIME (Compression Ratio Info-leak Made Easy), l’attaquant intercepte le contenu des cookies d’authentification secrets et exploite ces informations pour pirater une session web authentifiée. L’attaquant utilise à la fois le texte clair et les fuites de données de compression TLS pour exploiter la vulnérabilité. L’attaquant leurre le navigateur de sorte qu’il établisse plusieurs connexions au site web. L’attaquant compare ensuite la taille des textes chiffrés envoyés par le navigateur lors de chaque échange afin de déterminer les parties de la communication qui sont chiffrées et pirater la session.

Solution

  • Désactivez la compression des données TLS du serveur (site web) et la compression des données TLS du navigateur.
  • Modifiez le code gzip pour permettre la séparation explicite des contextes de compression en SPDY.

À propos de

DigiCert is the world's leading provider of scalable TLS/SSL, IoT and PKI solutions for identity and encryption. The most innovative companies, including 89% of the Fortune 500 and 97 of the 100 top global banks, choose DigiCert for its expertise in identity and encryption for web servers and Internet of Things devices. DigiCert supports TLS and other digital certificates for PKI deployments at any scale through its certificate lifecycle management solution, CertCentral®. The company is recognized for its enterprise-grade certificate management platform, fast and knowledgeable customer support, and market-leading security solutions. For the latest DigiCert news and updates, visit digicert.com or follow @digicert.

©2020 DigiCert, Inc. All rights reserved. DigiCert, its logo and CertCentral are registered trademarks of DigiCert, Inc. Norton and the Checkmark Logo are trademarks of NortonLifeLock Inc. used under license. Other names may be trademarks of their respective owners.