CRIME
CRIME es un exploit de seguridad contra cookies web secretas que operan sobre conexiones usando los protocolos HTTPS y SPDY y que también usan compresión. Cuando se usa para recuperar el contenido de cookies de autenticación secretas, permite al atacante llevar a cabo el secuestro de una sesión web autenticada, permitiendo así lanzar otros ataques.
From Wikipedia, the free encyclopedia
CRIME ("Compression Ratio Info-leak Made Easy" o filtración de información de ratio de compresión hecho fácil) es un exploit de seguridad contra cookies web secretas que operan sobre conexiones usando los protocolos HTTPS y SPDY y que también usan compresión.[1][2] Cuando se usa para recuperar el contenido de cookies de autenticación secretas, permite al atacante llevar a cabo el secuestro de una sesión web autenticada, permitiendo así lanzar otros ataques.
La vulnerabilidad explotada es una combinación de inyección de texto plano y de fuga de información a través de compresión de datos similar a la descrita en 2002 por el criptógrafo John Kelsey.[3] Esta se basa en que el atacante sea capaz de observar el tamaño del ciphertext enviado por el navegador mientras al mismo tiempo inducir al navegador a hacer múltiples conexiones cuidadosamente diseñadas al sitio web objetivo. El atacante entonces observará el cambio en el tamaño de la información solicitada, la que contiene tanto la cookie secreta que se envía por el navegador al sitio web, contenido variable creado por el atacante y como el contenido variable es alterado. Cuando el tamaño del contenido comprimido es reducido, se puede inferir que es probable que en alguna parte del contenido inyectado, ésta sea igual a parte del contenido original, la que incluye el contenido secreto que el atacante desea descubrir. La técnica división y conquista puede utilizarse entonces para averiguar el contenido secreto usando un número relativamente pequeño de intentos, los que serán un pequeño múltiplo de los bytes secretos a ser recuperados.[2][4]
El exploit CRIME fue creado por los investigadores de seguridad Juliano Rizzo y Thai Duong, quienes también crearon el exploit BEAST.[1] El exploit fue revelado en detalle en la conferencia de seguridad informática ekoparty 2012.[5]
