CRIME

Compression Ratio Info-leak Made Easy

Связанная ошибка

"Данный сервер уязвим для атаки CRIME. Убедитесь, что на вашем сервере включен протокол TLSv1.2 и отключите сжатие SSL/TLS."

Проблема

Протокол безопасности транспортного уровня (TLS) содержит функцию (сжатие TLS), которая позволяет сжимать данные, передаваемые между сервером и браузером. Данная функция используется для снижения пропускной способности и проблем с задержкой, связанных с шифрованием и дешифрованием больших объемов данных. Сжатие TLS добавляется в клиентские приветственные сообщения. Включение сжатия TLS не является обязательным.

Во время атаке CRIME (Compression Ratio Info-leak Made Easy) злоумышленник восстанавливает содержимое секретных аутентификационных файлов cookie и использует эту информацию для взлома аутентифицированного веб-сеанса. Злоумышленник использует комбинацию внедрения открытого текста и утечки данных при сжатии TLS для использования уязвимости. Злоумышленник вынуждает браузер совершить несколько подключений к сайту. Злоумышленник сравнивает размер зашифрованных текстов, отправляемых браузером во время каждого обмена, чтобы определить части зашифрованной связи и перехватить сеанс.

Способ устранения

  • Отключите сжатие данных TLS сервера (веб-сайта) и сжатие данных TLS браузера.
  • Измените gzip, чтобы разрешить явное разделение контекстов сжатия в SPDY.

О проекте

Компания DigiCert является первым в мире премиальным поставщиком цифровых страховых сертификатов высокого уровня, предоставляя доверенные SSL, частные и управляемые развертывания PKI, а также сертификаты устройств для растущего рынка интернета вещей. С момента нашего основания почти пятнадцать лет назад нами руководила идея поиска лучшего пути. Лучшего пути аутентификации в сети Интернет. Лучшего пути создания решений в ответ на запросы наших клиентов. Теперь мы добавили опыт и человеческие ресурсы компании Symantec к нашему инновационному наследию с целью поиска оптимального направления развития отрасли и усиления веры в идентичность и цифровые взаимоотношения.

2019 DigiCert, Inc. Все права защищены. Компания DigiCert и ее логотип являются зарегистрированными торговыми знаками компании DigiCert, Inc. Компании Symantec и Norton, их логотипы и торговые знаки используются на основании лицензии, выданной компанией Symantec Corporation. Другие названия могут являться торговыми знаками соответствующих собственников.