CRIME

CRIME ("Compression Ràtio Info-leak Made Easy" o filtració d'informació de ràtio de compressió fet fàcil) és un exploit de seguritat contra cookies web secretes que operen sobre conexions usant els protocols HTTPS i SPDY i que també usen compressió. Quan s'usa per a recuperar el contingut de cookies d'autenticació secretes, permet a l'atacant portar a terme el seqüestre d'una sessió web autenticada, permetent aixina llançar atres atacs.

Detalls

La vulnerabilitat explotada és una combinació d'injecció de text pla i de fuga d'informació a través de compressió de senyes similar a la descrita en 2002 pel criptógrafo John Kelsey. Esta es basa que l'atacant siga capaç d'observar el tamany del ciphertext enviat pel navegador mentres al mateix temps induir al navegador a fer múltiples conexions cuidadosadament dissenyades al sitie web objectiu. L'atacant llavors observarà el canvi en el tamany de l'informació solicitada, la que conté tant la cookie secreta que s'envia pel navegador al sitie web, contingut variable creat per l'atacant i com el contingut variable és alterat. Quan el tamany del contingut comprimit és reduït, es pot inferir que és provable que en alguna part del contingut injectat, esta siga igual a part del contingut original, la que inclou el contingut secret que l'atacant desija descobrir. La tècnica divisió i conquista pot utilisar-se llavors per a averiguar el contingut secret usant un número relativament chicotet d'intents, els que seran un chicotet múltiple dels bytes secrets a ser recuperats.

El exploit CRIME va ser creat pels investigadors de seguritat Juliano Rizzo i Thai Duong, els qui també varen crear el exploit BEAST. El exploit va ser revelat en detalle en la conferència de seguritat informàtica ekoparty 2012.

Prevenció

CRIME pot ser vençut en previndre l'us de compressió, ya siga en el client o pel navegador deshabilitando la compressió de solicituts HTTPS, o pel lloc web prevenint l'us de compressió de senyes en dites transaccions usant la negociació de protocols de TLS.^{cita requerida}

Vulnerabilitat

A setembre de 2012, el exploit CRIME ha segut mitigat per les noves versions de Chrome i Firefox, i Microsoft ha confirmat que el seu navegador Internet Explorer no era vulnerable a dit atac. Alguns llocs han aplicat contramedidas per la seua banda també. El servidor web nginx no era vulnerable a Crime des de la versió 1.0.9/1.1.6 (octubre / novembre de 2011) utilisant OpenSSL 1.0.0 +, i des d'1.2.2/1.3.2 (juny / juliol de 2012) utilisant qualsevol versió de OpenSSL.

A decembre de 2013, el exploit CRIME contra la compressió HTTP no s'ha mitigat en absolut. Rizzo i Duong han advertit que esta vulnerabilitat podria estar encara més estesa que la compressió SPDY i TLS combinades.

BREACH

Artícul principal → BREACH (atac).

En la conferència Black Hat d'agost de 2013, els investigadors Gluck, Harris i Prat varen anunciar una instància de el CRIME exploit contra la compressió HTTP cridat BREACH (abreviatura de Reconeiximent de Browser i exfiltración per mig de Compressió adaptable d'hipertext). Esta destapa secrets HTTPS atacant la compressió de senyes HTTP incorporada utilisat pels servidors web per a reduir el tràfic de ret.

Vore també

• Transport Layer Security (TLS)