CRIME

Compression Ratio Info-leak Made Easy

相关错误

"此服务器易受 CRIME 攻击。确保对服务器启用 TLSv1.2 协议并且禁用 SSL/TLS 压缩。"

问题

安全传输层 (TLS) 协议包含一项功能（TLS 压缩）允许压缩在服务器和浏览器之间传递的数据。您使用此功能减少加密和解密大量数据而产生的带宽和延迟问题。TLS 压缩已添加到客户端欢迎消息中。是否包括 TLS 压缩是可选项。

在“Compression Ratio Info-leak Made Easy”攻击中，攻击者恢复秘密验证 Cookie 的内容，并使用此信息劫持经过验证的 Web 会话。攻击者结合使用明文注入和 TLS 压缩数据泄露来入侵漏洞。攻击者引诱浏览器与网站进行多次连接。然后比较浏览器在每次交换期间发送的密文大小，以确定加密通信部分并劫持会话。

解决方案

  • 禁用服务器（网站）TLS 数据压缩和浏览器 TLS 数据压缩。
  • 修改压缩程序以允许明确分离 SPDY 中的压缩上下文。

简介

DigiCert 是全球首屈一指的高可信数字证书颁发机构，提供可信赖的 SSL、专用和管理 PKI 部署以及用于新兴 IoT 市场的设备证书。公司成立近十五年，一直致力于不断探索、改进和优化互联网身份认证以及针对客户需求提供定制解决方案的方法。公司如今在传统创新的基础上融入了 Symantec 的专业经验和人才资源，探索更有效的方法引领行业趋势，增强身份识别和数字交互中的可信度。

©2019 DigiCert, Inc. 保留所有权利。DigiCert 及其徽标是 DigiCert, Inc. Symantec 和 Norton 的注册商标，并且他们的徽标是根据 Symantec Corporation 许可证使用的商标。其他名称可能是其各自所有者的商标。