CRIME 攻撃.

2012 年に Rizzo と Duong が公表したサイドチャネル攻撃で、TLS レベルの圧縮を悪用し暗号文長を観測することで HTTPS セッションクッキーを復元する。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

2012 年に Rizzo と Duong が公表したサイドチャネル攻撃で、TLS レベルの圧縮を悪用し暗号文長を観測することで HTTPS セッションクッキーを復元する。

CRIME(Compression Ratio Info-leak Made Easy)は 2012 年の Ekoparty で Juliano Rizzo と Thai Duong が実演しました。TLS や SPDY の圧縮が有効な場合、攻撃者注入データと秘密クッキー間で重複するバイトがあると圧縮レコードが短くなります。攻撃者は悪意ある JavaScript から推測バイトを変えながら暗号化レコードの長さを測ることで、Cookie を含む HTTP ヘッダを 1 文字ずつ復元できます。対策は構造的で、TLS 層の圧縮を無効化することでした。ブラウザと TLS スタックは速やかに対応し、TLS 1.3 ではレコード圧縮自体が廃止されています。CRIME は後の BREACH 攻撃の直接的な着想源となりました。

CRIME 攻撃 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: CRIME。