CRIME

「このサーバーにはCRIME攻撃に対する脆弱性があります。サーバーでTLSv1.2プロトコルが有効化されていることを確認し、SSL/TLS圧縮を無効にしてください。」

Transport Layer Security（TLS）プロトコルには、サーバーとブラウザ間で渡されるデータを圧縮する機能（TLS圧縮）が含まれています。この機能は、大量のデータの暗号化および復号化に関連する帯域幅と遅延の問題を軽減するために使用されます。TLS圧縮はクライアントのhelloメッセージに追加されます。TLS圧縮の包含はオプションです。

CRIME（Compression Ratio Info-leak Made Easy）攻撃では、攻撃者が秘密の認証クッキーの内容を復元し、この情報を使用して認証されたウェブセッションをハイジャックします。攻撃者は、平文インジェクションとTLS圧縮のデータ漏洩の組み合わせ使用して、脆弱性を悪用します。攻撃者は、ウェブサイトに対していくつかの接続を行うようにブラウザを誘導します。攻撃者は次に、それぞれのやりとりでブラウザが送信した暗号文のサイズを比較して通信の暗号化された箇所を特定し、セッションをハイジャックします。