CRIME
간편한 압축 비율 정보 유출
관련된 오류
"이 서버는 CRIME 공격에 취약합니다. 서버에서 TLSv1.2 프로토콜을 사용하고 SSL/TLS 사용 중지합니다."
문제점
TLS(Transport Layer Security) 프로토콜에는 서버와 브라우저 사이에 전송되는 데이터를 압축하는 기능(TLS 압축)이 있습니다. 이 기능을 사용하면 다량의 데이터를 암호화 및 암호 해독할 때 발생하는 대역폭 및 대기 시간 문제를 줄일 수 있습니다. TLS 압축은 Client Hello 메시지에 추가됩니다. TLS 압축을 포함하는 것은 선택 사항입니다.
CRIME(Compression Ratio Info-leak Made Easy) 공격에서 공격자는 비밀 인증 쿠키의 콘텐츠를 가로채고 이 정보를 사용하여 인증된 웹 세션을 하이재킹합니다. 공격자는 일반 텍스트 주입 및 TLS 압축 데이터 유출의 조합을 사용하여 취약성을 악용합니다. 공격자는 브라우저가 웹 사이트에 여러 개의 연결을 맺도록 유도합니다. 다음으로 공격자는 각 교환 중에 브라우저가 보낸 암호 텍스트의 크기를 비교하여 암호화된 통신에 해당하는 부분을 결정하고 세션을 하이재킹합니다.
솔루션
서버(웹 사이트) TLS 데이터 압축 및 브라우저 TLS 데이터 압축을 사용 중지합니다.
gzip을 수정하여 SPDY에서 압축 컨텍스트의 명시적 구분을 허용합니다.