Af Torben B. Sørensen, 11/10/16
Artiklen blev oprindeligt publiceret den 6/8/2013
En sårbarhed gør det muligt at gætte sig til krypteret webindhold, hvis kommunikationsforbindelsen anvender komprimering.Sårbarheden, der ligger i HTTPS (Hypertext Transfer Protocol Secure), bliver kaldt BREACH (Browser Reconnaissance and Exfiltration via Adaptive Compression of Hypertext). Den blev offentliggjort på Black Hat-konferencen i sidste uge.
Angrebsmetoden kan udnyttes i tilfælde, hvor hemmelige data sendes sammen med data, som angriberen kan kontrollere. Angriberen placerer et gæt på, hvad hemmeligheden er. Hvis gættet er rigtigt, bliver den komprimerede udgave af websiden mindre, fordi de samme data optræder to gange i den.
På konferencen demonstrerede sikkerhedsforskerne Angelo Prado, Neal Harris og Yoel Gluck, hvordan de på 30 sekunder kunne finde frem til sessionsnøglen for en Outlook Web Access-session.
CERT/CC har udsendt en advarsel om sårbarheden. Der findes ikke en nem løsning på problemet. En mulighed er at slå komprimering fra.