読者です 読者をやめる 読者になる 読者になる

SPDY/3.2とか

SPDYの脆弱性

SSLで暗号化+圧縮を行こなっている通信に対して、Cookie等の値を解析するCRIME攻撃やBREACH攻撃が知られている。


幾つかのサイトで解説記事が書かれている。
App Engine セキュリティー情報 - BREACH attack について
BREACH攻撃(てきとうなメモ)


SPDY/3はSSL通信を前提にしてる上、ヘッダ領域はDEFLATEで圧縮されるためこれらの攻撃対象になりうる。


HTTP2でも同様の議論が行われており、HPACKやPaddingが導入されいる。

SPDY/3.2

先日、Chromiumのサイトを眺めてたところ「SPDY Protocol - Draft 3.2」というページが出来ていた。


HTTP/2-draft10で導入されたPaddingが同じように導入されている。


このPaddingにより、BREACH攻撃で必要となるデータ長を変えることでこれらの攻撃を防げることになる...


何故かデータフレームへのPaddingしか定義されておらず、まだ仕様として完成なのかは分からないが、SPDY/3.2でPaddingを導入することを考えているようだ。