CRIME 攻击.

Rizzo 与 Duong 于 2012 年公开的侧信道攻击,利用 TLS 层压缩并观测密文长度,从而恢复 HTTPS 会话 Cookie。 它属于网络安全的 攻击与威胁 分类。

Rizzo 与 Duong 于 2012 年公开的侧信道攻击,利用 TLS 层压缩并观测密文长度,从而恢复 HTTPS 会话 Cookie。

CRIME(Compression Ratio Info-leak Made Easy)由 Juliano Rizzo 与 Thai Duong 在 2012 年 Ekoparty 大会上演示。当启用 TLS 或 SPDY 压缩时,攻击者注入的内容与受害者机密 Cookie 之间的重复字节会让压缩记录变短。攻击者从受控的 JavaScript 上下文中不断变换猜测字节并观察加密记录长度,即可逐字符恢复包含会话 Cookie 在内的 HTTP 头部。修复方案直接且结构性:在传输层彻底关闭 TLS 压缩。所有主流浏览器与 TLS 实现迅速跟进,TLS 1.3 完全取消了记录级压缩。CRIME 也是后来 BREACH 攻击的灵感来源。

针对 CRIME 攻击 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: CRIME。