¿Podrían mitigarse los ataques HTTPS como CRIME cambiando la cookie de sesión regularmente?

En el caso de CRIME, el ataque está en el cliente. El Javascript hostil en el cliente desencadena solicitudes al servidor, que el atacante observa desde el exterior; y (ese es el punto importante aquí) el atacante puede bloquear la solicitud de salida. El atacante necesita ver los registros cifrados, pero no necesariamente para permitir que vayan hasta el servidor.

Por lo tanto, durante todo el ataque, el servidor nunca ve ninguna solicitud con la cookie en él. Incluso si el servidor cambiara la cookie para cada solicitud (una "cookie de una sola vez"), el ataque seguiría funcionando.

Tal vez, pero si hay un script que realiza ataques con la cookie de sesión inmediatamente después de que se intercepta, el daño ya estará hecho. Si una persona está interactuando con los datos de la sesión, es posible que no pueda actuar lo suficientemente rápido. Realmente, esto significa que estarías mitigando los ataques no dirigidos o no sofisticados.