Атака BREACH.

Атака по побочному каналу 2013 года, восстанавливающая защищённые HTTPS секреты за счёт HTTP-сжатия и измерения длины ответов на подконтрольные злоумышленнику запросы. Относится к категории Атаки и угрозы в кибербезопасности.

Атака по побочному каналу 2013 года, восстанавливающая защищённые HTTPS секреты за счёт HTTP-сжатия и измерения длины ответов на подконтрольные злоумышленнику запросы.

BREACH (Browser Reconnaissance and Exfiltration via Adaptive Compression of Hypertext) была представлена на Black Hat USA 2013 авторами Gluck, Harris и Prado. Атака нацелена на веб-приложения, которые сжимают gzip-ом ответы HTTP, содержащие одновременно вход, контролируемый атакующим, и секрет (например, токен CSRF). Подставляя строки-предположения и измеряя длину зашифрованного ответа, злоумышленник строит оракул степени сжатия и восстанавливает секрет побайтно даже при корректно настроенном TLS. В отличие от CRIME, BREACH атакует сжатие тела HTTP, поэтому отключения сжатия TLS недостаточно. Меры защиты: разделение секретов, маскирование токенов в каждом запросе, ограничение частоты и случайное паддинг-выравнивание длины.

Защита от Атака BREACH обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: BREACH.