BREACH

BREACH (um backronym: Browser Reconnaissance and Exfiltration via Adaptive Compression of Hypertext) é uma vulnerabilidade de segurança contra HTTPS quando utiliza compressão HTTP. BREACH é construído com base no exploit de segurança CRIME. BREACH foi anunciado na conferência Black Hat de agosto de 2013 por pesquisadores de segurança Angelo Prado, Neal Harris e Yoel Gluck. A ideia havia sido discutida na comunidade antes do anúncio. Detalhes Embora o ataque CRIME tenha sido apresentado como um ataque geral que poderia funcionar efetivamente contra um grande número de protocolos, apenas exploits contra compressão de requisição SPDY e compressão TLS foram demonstrados e amplamente mitigados em navegadores e servidores. Os exploits CRIME contra compressão HTTP não foram mitigados de forma alguma, mesmo que os autores do CRIME tenham alertado que essa vulnerabilidade poderia ser ainda mais difundida do que a compressão SPDY e TLS combinadas. BREACH é uma instância do ataque CRIME contra a compressão HTTP—o uso de algoritmos de compressão de dados gzip ou DEFLATE via a opção content-encoding dentro do HTTP por muitos navegadores e servidores web. Dado esse oráculo de compressão, o restante do ataque BREACH segue as mesmas linhas gerais do exploit CRIME, realizando uma busca inicial por força bruta cega para adivinhar alguns bytes, seguida por uma busca por dividir e conquistar para expandir uma suposição correta para uma quantidade arbitrariamente grande de conteúdo.