CRIME

Compression Ratio Info-leak Made Easy

Erro relacionado

"Este servidor é vulnerável a um ataque CRIME. Certifique-se de ter o protocolo TLSv1.2 habilitado no seu servidor e desabilite a compressão SSL/TLS."

Problema

O protocolo Transport Layer Security (TLS) possui um recurso (compressão TLS) que lhe permite comprimir os dados passados entre o servidor e o navegador. Você usa este recurso para reduzir problemas de largura de banda e latência associados à criptografia e decodificação de grandes quantidades de dados. A compressão TLS é adicionada à mensagem Cliente Hello. Incluir compressão TLS é opcional.

Em um ataque Compression Ratio Info-leak Made Easy, quem ataca recupera o conteúdo de cookies de autenticação secreta e usa estas informações para sequestrar uma sessão web autenticada. Quem ataca usa uma combinação de injeção em texto simples e vazamento de dados de compressão TLS para explorar a vulnerabilidade. Quem ataca atrai o navegador a fazer diversas conexões ao site. Então, quem ataca compara o tamanho dos textos cifrados enviados pelo navegador durante cada troca para determinar partes da comunicação criptografada e sequestrar a sessão.

Solução

  • Desabilite a compressão de dados TLS do servidor (TLS) e compressão de dados TLS do navegador.
  • Modifique o gzip para permitir separação explícita de contextos de compressão em SPDY.

Sobre

A DigiCert é a provedora premium do mundo de certificados digitais de garantia: fornecendo implantações confiáveis de SSL e PKI gerenciada e particular, e certificados de dispositivos para o mercado emergente IoT. Desde a nossa fundação há quase quinze anos, temos sido impulsionados pela ideia de encontrar uma forma melhor. Uma melhor forma para fornecer autenticação na Internet. Uma melhor forma para personalizar soluções de acordo com as necessidades do nosso cliente. Agora, agregamos a experiência e talento da Symantec ao nosso legado de inovação para encontrarmos uma melhor forma de liderar a indústria e construirmos maior confiança em identidade e interações digitais.

©2019 DigiCert, Inc. Todos os direitos reservados. A DigiCert e seu logo são marcas registradas da DigiCert, Inc. Symantec e Norton e seus logos são marcas registradas usadas sob licença da Symantec Corporation. Outros nomes podem ser marcas registradas de seus respectivos donos.