Attaque BREACH
Attaque par canal auxiliaire qui extrait des secrets de réponses HTTPS chiffrées en mesurant à quel point la compression s'accorde avec un texte deviné.
Présentée en 2013, BREACH prolonge CRIME, apparue en 2012. L'attaquant fait envoyer au navigateur de la victime des requêtes contenant une supposition, par exemple un jeton qui figure aussi dans la réponse. Si la supposition est juste, la réponse compressée raccourcit, et cette longueur transpire à travers le trafic chiffré. Avec assez de variantes, le secret se reconstitue caractère par caractère.
Le plus fâcheux : BREACH vise la compression HTTP du corps de la réponse, que les parades au niveau TLS n'arrêtent pas. Parmi les remèdes : ne pas refléter de secrets à côté d'une entrée contrôlée par l'attaquant, randomiser les jetons à chaque requête, désactiver la compression sur les pages sensibles. Couper gzip est la solution la plus rapide, et aussi la plus coûteuse en performances.