Exchange / OWA può ancora comprimere le immagini statiche ed essere immune agli attacchi di compressione HTTP?

3

Microsoft Exchange / OWA (Outlook Web Access) consente tre diversi tipi di compressione (collegamento per Ex2010 )

Compression setting   Description
High                  Compresses both static and dynamic pages.
Low                   Compresses only static pages.
None                  No compression is used.

Considerati gli attacchi noti contro HTTP e SSL (ovvero BEAST , CRIME e BREACH , è sicuro di usare un'impostazione di compressione di "Basso", in cui solo le pagine statiche sono compresse?

    
posta random65537 02.08.2013 - 18:27
fonte

1 risposta

8

I recenti attacchi relativi alla compressione funzionano tutti sullo stesso principio: alcuni blocchi di byte sono compressi, contenenti sia un elemento di dati che l'utente malintenzionato sceglie , sia un elemento di dati che l'utente malintenzionato vuole scoprire . La lunghezza compressa risultante viene utilizzata come oracolo binario in "supposizioni" successive da parte dell'utente malintenzionato, che ricostruisce progressivamente il valore segreto, un byte alla volta.

Questo non può funzionare con le pagine statiche, perché le pagine statiche sono statiche. Per definizione, ciò significa che i loro contenuti non cambiano spesso (cioè mai eccetto per azione esplicita dell'amministratore del sito), e, in particolare, l'autore dell'attacco non può inserire i propri dati in essi.

Si può notare che la compressione è una questione di prestazioni e, in quanto tale, non è garantita fino a quando i problemi di prestazioni non sono stati debitamente notati. Ti suggerisco di disattivare completamente la compressione e vedere se questo funziona correttamente. Se, e solo se, noti un eccessivo consumo o latenza della rete, diventa rilevante provare i livelli di compressione più elevati.

    
risposta data 02.08.2013 - 19:26
fonte