Sıkıştırma oracle'ı
Veri şifrelenmeden önce sıkıştırıldığında, şifreli metnin uzunluğu saldırgana tahmininin yanındaki sırra benzeyip benzemediğini söyler.
Şifreleme içeriği saklar ama uzunluğu saklamaz; sıkıştırma ise uzunluğu içeriğin bir fonksiyonu yapar. Saldırgan bir sırla — bir çerez, bir CSRF belirteci — birlikte sıkıştırılacak metin enjekte edebiliyorsa, tahmini sırrın bir kısmını tekrar ettiğinde çıktı biraz küçülür. Ölçüm aletinin bir cetvel olduğu bir seçilmiş düz metin saldırısıdır bu.
John Kelsey ilkeyi 2002'de tarif etti; sonra ilgilenecek biri çıkana kadar bir köşede bekledi. 2012'de CRIME TLS sıkıştırmasıyla oturum çerezlerini çaldı; 2013'te BREACH aynısını HTTP yanıt sıkıştırmasıyla yaptı. TLS sıkıştırması her yerde kapatıldı. HTTP sıkıştırması ise web'i yavaşlatmadan bırakılamaz; orada çare, belirteçleri her yanıtta yeni bir rastgelelikle maskelemektir.