CRIME

"Este servidor é vulnerável a um ataque CRIME. Certifique-se de ter o protocolo TLSv1.2 habilitado no seu servidor e desabilite a compressão SSL/TLS."

O protocolo Transport Layer Security (TLS) possui um recurso (compressão TLS) que lhe permite comprimir os dados passados entre o servidor e o navegador. Você usa este recurso para reduzir problemas de largura de banda e latência associados à criptografia e decodificação de grandes quantidades de dados. A compressão TLS é adicionada à mensagem Cliente Hello. Incluir compressão TLS é opcional.

Em um ataque Compression Ratio Info-leak Made Easy, quem ataca recupera o conteúdo de cookies de autenticação secreta e usa estas informações para sequestrar uma sessão web autenticada. Quem ataca usa uma combinação de injeção em texto simples e vazamento de dados de compressão TLS para explorar a vulnerabilidade. Quem ataca atrai o navegador a fazer diversas conexões ao site. Então, quem ataca compara o tamanho dos textos cifrados enviados pelo navegador durante cada troca para determinar partes da comunicação criptografada e sequestrar a sessão.

• Desabilite a compressão de dados TLS do servidor (TLS) e compressão de dados TLS do navegador.
• Modifique o gzip para permitir separação explícita de contextos de compressão em SPDY.