CRIME

CRIME（英語えいご：Compression Ratio Info-leak Made Easy，意思いし为：压缩率りつ使し信しん息いき容易ようい泄露）是ぜ一いち种可か攻おさむ击安全ぜん隐患（Exploit），通つう过它可か窃取せっしゅ启用数かず据すえ压缩特性とくせい的てきHTTPS或あるSPDY协议传输的てき私わたし密みつWeb Cookie。在ざい成功せいこう解かい读身み份验证Cookie后きさき，攻おさむ击者可か以实行ぎょう会かい话劫持じ和かず发动进一いち步ほ攻おさむ击。CRIME被ひ分配ぶんぱい为CVE-2012-4929。

细节

此漏洞ほら立足たつあし于选择明文あきふみ攻おさむ击配合はいごう数すう据すえ压缩无意间造成ぞうせい的てき信しん息いき泄露，类似密みつ码学家かJohn Kelsey在ざい2002年ねん所しょ述じゅつ的てき方式ほうしき。它依赖于攻おさむ击者能のう观察浏览器き发送的てき密みつ文ぶん的てき大小だいしょう，并在同どう时诱导浏览器发起多た个精心こころ设计的てき到いた目め标网站的连接。攻おさむ击者会かい观察已やめ压缩请求载荷的てき大小だいしょう，其中包括ほうかつ两个浏览器き只ただ发送到いた目め标网站的私わたし密みつCookie，以及攻おさむ击者创建的てき变量内容ないよう。当とう压缩内容ないよう的てき大小だいしょう降くだ低てい时，攻おさむ击者可か以推断すいだん注入ちゅうにゅう内容ないよう的てき某ぼう些部分与ぶんよ源げん内容ないよう的てき某ぼう些部分ぶぶん匹ひき配はい，其中包括ほうかつ攻おさむ击者想おもえ要よう发掘的てき私わたし密みつ内容ないよう。使用しよう分ぶん治ち法ほう技わざ术可以用较小的てき尝试次数じすう解かい读真正せい秘密ひみつ的てき内容ないよう，需要じゅよう恢复的てき字じ节数会かい大幅おおはば降くだ低てい。

CRIME利用りよう方法ほうほう由よし安全あんぜん研究けんきゅう人じん员Juliano Rizzo和わThai Duong创建，他た们还创建了りょうBEAST利用りよう方法ほうほう。此利用りよう方法ほうほう在ざい2012年ねんekoparty安全あんぜん会かい议上完全かんぜん展示てんじ。Rizzo和わDuong指出さしで，CRIME是ぜ一种通用攻击，可か以对众多协议进行有效ゆうこう攻おさむ击，包括ほうかつ但ただし不ふ限きり于SPDY（始はじめ终压缩请求もとめ头）、TLS（可能かのう压缩记录）和かずHTTP（可能かのう压缩响应）。

避免

CRIME可か以被禁きん用よう压缩挫くじけ败，无论是ぜ在ざい客きゃく户端的てき浏览器き中ちゅう禁きん用よう压缩，还是由よし网站根ね据すえTLS的てき协商特性とくせい阻止そし使用しよう数すう据すえ压缩。

漏も洞ほら

缓解

截至2012年ねん9月がつ，针对SPDY和わTLS层压缩的CRIME利用りよう方法ほうほう在ざい最新さいしん版本はんぽん的てきChrome和わFirefox浏览器き中ちゅう已やめ做缓解かい。微ほろ软已やめ确认其Internet Explorer浏览器き不ふ会かい受到此攻击，因いん为其浏览器き不ふ支持しじSPDY和わTLS压缩。一些网站已自行应用对策。nginx网页服ふく务器从使用しようOpenSSL 1.0.0+的てき1.0.9/1.1.6（2011年ねん10月がつ/11月）和かず使用しよう所有しょゆうOpenSSL版本はんぽん的てき1.2.2/1.3.2（2012年ねん6月がつ/7月がつ）起おこり不ふ会かい受到此攻击。

应注意ちゅうい的てき是ぜ，截至2013年ねん12月，针对HTTP压缩的てきCRIME利用りよう并未完全かんぜん缓解。Rizzo和わDuong已やめ警告けいこく此漏洞ほら的てき适用范围可能かのう比ひSPDY和わTLS压缩更さら加か普遍ふへん。

BREACH

在ざい2013年ねん8月がつ的てきBlack Hat会かい议上，研究けんきゅう员Gluck、Harris和わPrado宣布せんぷ了りょう一いち个CRIME利用りよう方法ほうほう的てき变体，它针对HTTP压缩，称しょう之の为BREACH（全ぜん称しょう：Browser Reconnaissance and Exfiltration via Adaptive Compression of Hypertext的てき缩写，意い为“通つう过自适应超文ちょうぶん本ほん压缩做浏览器侦听和わ渗透”）。它通过攻击网页服务器为减少しょう网络流量りゅうりょう内ない置おけ的てきHTTP数すう据すえ压缩来らい解かい读HTTPS私わたし密みつ信しんじ息いき。