Tag Archives: csrf

Facebook 在對抗 BREACH Attack 的方法

在「Facebook Takes Tougher Stand Against BREACH Attack」這篇提到 Facebook 在 2012 年對抗 BREACH attack 的方法: 在文章最後面有提到當時一般建議的 migrate 方式 (關閉 TLS 的壓縮) 不適用於 Facebook: Turning off compression is not an option for large dynamic sites such as Facebook because it would hinder … Continue reading

Posted in Computer, Murmuring, Network, Security | Tagged , , , , , , | Leave a comment

新的 HTTPS 攻擊:BREACH Compression Attack

也是一個禮拜前的消息,在 Slashdot 上看到對 HTTPS 的新攻擊,目前沒有好解法,NSA 應該開心到爆炸:「BREACH Compression Attack Steals SSL Secrets」。 說明可以參考「Vulnerability Note VU#987798 BREACH vulnerability in compressed HTTPS」這篇。 假設你的 ISP 想要抓出你的 Facebook (HTTPS) session id 或是 CSRF token (只要是有能力在中間攔截封包並修改資料的團體都可以,這邊以 ISP 為例),作法是針對 HTTP 頁面值入 script,讓你的瀏覽器對 https://www.facebook.com/ 發出大量 request,藉由觀察這些 HTTPS 的長度就有機會取得 … Continue reading

Posted in Computer, Murmuring, Network, Security, WWW | Tagged , , , , , , , , | 2 Comments