BREACH 攻撃.

2013 年に公表されたサイドチャネル攻撃で、HTTP レベルの圧縮を悪用して攻撃者が制御するリクエストの応答長を観測し、HTTPS で保護された秘密を復元する。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

2013 年に公表されたサイドチャネル攻撃で、HTTP レベルの圧縮を悪用して攻撃者が制御するリクエストの応答長を観測し、HTTPS で保護された秘密を復元する。

BREACH(Browser Reconnaissance and Exfiltration via Adaptive Compression of Hypertext)は 2013 年の Black Hat USA で Gluck、Harris、Prado によって発表されました。攻撃者制御の入力と CSRF トークンなどの秘密を同じ HTTP 応答に含み、それを gzip で圧縮する Web アプリケーションが標的です。攻撃者が候補文字列を注入して暗号化応答の長さを測定することで、TLS 自体に問題がなくても 1 バイトずつ秘密を抽出できる圧縮率オラクルを構築できます。CRIME と異なり HTTP ボディ圧縮を狙うため、TLS 圧縮の無効化では防げません。対策はリクエストごとのトークンマスク、秘密の分離、レート制限、長さのランダム化などです。

BREACH 攻撃 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: BREACH。