CRIME

CRIME (Compression Ratio Info-leak Made Easy) es una vulnerabilidad de seguridad en los protocolos HTTPS y SPDY que utilizan compresión, la cual puede filtrar el contenido de cookies web secretas. Cuando se usa para recuperar el contenido de cookies de autenticación secretas, permite a un atacante realizar secuestro de sesión en una sesión web autenticada, permitiendo el lanzamiento de ataques adicionales. CRIME was assigned . Details La vulnerabilidad explotada es una combinación de ataque de texto plano elegido y filtración inadvertida de información a través de compresión de datos, similar a la descrita en 2002 por el criptógrafo John Kelsey. Se basa en que el atacante pueda observar el tamaño del texto cifrado enviado por el navegador al mismo tiempo que induce al navegador a realizar múltiples conexiones web cuidadosamente elaboradas al sitio objetivo. El atacante luego observa el cambio en el tamaño de la carga útil de la solicitud comprimida, que contiene tanto la cookie secreta que el navegador envía solo al sitio objetivo, como el contenido variable creado por el atacante, a medida que se altera el contenido variable. Cuando el tamaño del contenido comprimido se reduce, se puede inferir que es probable que alguna parte del contenido inyectado coincida con alguna parte de la fuente, que incluye el contenido secreto que el atacante desea descubrir. Luego se pueden usar técnicas de divide y vencerás para acercarse al verdadero contenido secreto en un número relativamente pequeño de intentos de sondeo que es un múltiplo pequeño del número de bytes secretos a recuperar. The CRIME exploit was hypothesized by Adam Langley, and first demonstrated by the security researchers Juliano Rizzo and Thai Duong, who also created the BEAST exploit. The exploit was due to be revealed in full at the 2012 ekoparty security conference. Rizzo and Duong presented CRIME as a general attack that works effectively against a large number of protocols, including but not limited to SPDY (which always compresses request headers), TLS (which may compress records) and HTTP (which may compress responses). Prevention CRIME puede ser derrotado impidiendo el uso de compresión, ya sea en el extremo del cliente, mediante el navegador que deshabilita la compresión de las solicitudes SPDY, o mediante el sitio web que impide el uso de compresión de datos en tales transacciones usando las características de negociación de protocolo del protocolo TLS.