BREACH
Browser Reconnaissance & Exfiltration via Adaptive Compression of Hypertext
Alerta relacionado
Este servidor é vulnerável a um ataque BREACH. Desabilite compressão HTTP para solicitações entre sites ou quando o cabeçalho não estiver presente em uma solicitação. Ao contrário de uma vulnerabilidade CRIME, desativar a compactação TLS não é uma solução. BREACH explora a compressão no protocolo HTTP subjacente."
Problema
A vulnerabilidade Browser Reconnaissance and Exfiltration via Adaptive Compression of Hypertext (BREACH) tem como alvo a compressão HTTP. O invasor manipula o uso de compactação em nível de HTTP para extrair informações de dados protegidos por HTTPS. Essas informações incluem endereços de e-mail, tokens de segurança e outras strings de texto simples.
Basicamente, quem ataca força o seu navegador a se conectar a um site habilitado por TLS. Usando um MITM (man-in-the-middle-attack), eles monitoram o tráfego entre você e o servidor do site.
Solução
Servidor web
Desative a compactação para páginas que incluem PII (Informações de Identificação Pessoal).
Navegador da Web
Força o navegador a não convidar o uso de compactação HTTP.
Aplicativos da web
Considere mudar para a cifra AES-128.
Remova o suporte de compressão no conteúdo dinâmico.
Separe segredos da entrada do usuário.
Use solicitações limitadas por taxa.