提问人:Gui-Don 提问时间:1/16/2015 最后编辑:Gui-Don 更新时间:5/10/2017 访问量:1514
在不告别压缩的情况下缓解 BREACH 攻击
Mitigate BREACH attacks without saying goodbye to compression
问:
无论我在哪里寻找缓解此漏洞的解决方案,我都会发现类似的东西:
只需禁用 http 压缩即可。
嗯,这很痛苦,因为压缩可以节省大量带宽,还可以使您的网页加载速度更快。此外,我读到的关于 BBREACH 的信息是,攻击者可以使用压缩长度来读取压缩文档中的一些(可能是秘密的)信息。
现在,让我们承认我在加载的页面中确实有一些秘密信息,这并不意味着像 CSS 或 JS 这样的静态资源也有。
那么,它是否是一种解决方案,可以仅对 html 页面(动态或非动态)禁用压缩,并为 CSS 或安全 JS 等非机密资源启用压缩?
答:
0赞
Craig London
5/10/2017
#1
以下是我在这里找到的一些潜在解决方案
CSRF代币防御
HTTP 分块编码缓解措施
Referer 检查缓解
https://blog.qualys.com/ssllabs/2013/08/07/defending-against-the-breach-attack
评论