¿El protocolo HTTPS filtra la longitud del cuerpo HTTP?

6

Parece que en un ataque MITM, los piratas informáticos pueden conocer el tamaño del paquete HTTPS completo enviado a través de la red (es decir, el tamaño de los encabezados HTTP + cuerpo HTTP + sobrecarga). Además, ¿el protocolo HTTPS también permite al pirata informático recuperar la longitud del cuerpo HTTP (comprimido o no)?

Lo pregunto porque esto está relacionado con si o no "agregar una cadena de longitud aleatoria al encabezado HTTP" puede ocultar la longitud del cuerpo HTTP comprimido, para mitigar (pero sé que no puedo evitar) un ataque BREACH.

Si la respuesta es no, ¿alguien conoce otros riesgos al colocar la cadena de longitud aleatoria en el encabezado HTTP, en lugar de en el cuerpo HTTP, para mitigar un ataque de INCUMPLIMIENTO?

    
pregunta Johnny Wong 09.06.2015 - 09:51
fuente

1 respuesta

1

La distinción entre encabezado y contenido no suele ser la parte más difícil del análisis criptográfico. Esto se debe a que los encabezados generalmente vienen con una estructura específica, un rango de longitud común y una variedad de valor limitado.

Sí, SSL / TLS está perdiendo detalles de longitud que podrían usarse para múltiples clases de ataques. En algunos casos, un atacante podría incluso determinar la información del contenido. Consulte el Ataque de la bicicleta para obtener más información: enlace

El relleno es una buena idea para prevenir tales ataques. No hay una desventaja notable por definición con respecto a la seguridad que agrega dicha característica.

    
respondido por el Marc Ruef 03.06.2016 - 05:03
fuente

Lea otras preguntas en las etiquetas