Una SPA è vulnerabile all'https security exploit di BREACH?

Naviga le tue risposte
0

Ho una singola pagina di applicazione (SPA) che consiste di risorse statiche (HTML, JS, CSS, font di immagini ...) che vengono servite da un server Web Apache e diversi endpoint API (che servono JSON da un backend JBoss, Proxyed attraverso lo stesso Apache che serve le risorse statiche).

I browser client hanno accesso alla SPA solo tramite HTTPS.

I dati sensibili vengono forniti esclusivamente dagli endpoint API.

Vorrei abilitare la compressione gzip per tutte le risorse statiche. la compressione gzip non sarà abilitata sugli endpoint API.

L'attivazione della compressione gzip sulle risorse statiche rappresenta un rischio per la sicurezza a causa del exploit di sicurezza BREACH ?

Non comprendo appieno l'attacco di BREACH:

  • Le mie risorse statiche (che verrebbero compresse) non riflettono i dati utente
  • Le chiamate API riflettono i dati dell'utente e possono contenere parametri di query, ma non sono compressi.

Lo scenario sopra esposto è vulnerabile all'attacco BREACH o no?

    
posta jbandi 03.01.2017 - 12:44
fonte

1 risposta

1

Dal tuo link:

To be vulnerable, a web application must:

  • Be served from a server that uses HTTP-level compression
  • Reflect user-input in HTTP response bodies
  • Reflect a secret (such as a CSRF token) in HTTP response bodies

Tuttavia, se le tue risorse sono statiche e sono gli unici elementi compressi, allora:

  • Essere servito da un server che utilizza la compressione a livello HTTP
  • Rifletti input dell'utente nei corpi di risposta HTTP
  • Rifletti un segreto (come un CSRF token) nei corpi di risposta HTTP

Per gli elementi dinamici non compressi:

  • Essere servito da un server che utilizza la compressione a livello HTTP
  • Rifletti input dell'utente negli organismi di risposta HTTP
  • Rifletti un segreto (come un CSRF token) negli organismi di risposta HTTP

Chiave:

  • Applicabile alla tua situazione

  • Non applicabile

Poiché nessuna richiesta soddisfa tutti e tre i requisiti, non sei vulnerabile a BREACH.

    
risposta data 05.01.2017 - 00:05
fonte

Leggi altre domande sui tag

Perché il syscall si bloccherà per 1min quando il sottosistema di controllo di Linux raggiunge il limite del backlog per la prima volta? Regole Iptables per impedire lo spoofing IP