Hoy dando una vuelta por los pocos blogs que puede leer ahora por culpa de mi ISP. Bueno, la cuestión es que recordareis que en la entrada de ayer dije que me parecía raro el silencio que había a habido después de la aparición de The Beast en el campo del Https. Pues cual ha sido mi sorpresa que en el blog de [HackPlayers] publicaron ayer un articulo donde hablaban de BREACH (Browser Reconnaissance and Exfiltration via Adaptive Compression of Hypertext) una herramienta para sacar información en conexiones https la cual se presento en la BlackHat de este año.
"Fue presentada en la última conferencia Black Hat y se aprovecha varias vulnerabilidades de forma similar a lo que hacía CRIME con deflate, es decir, ataca al algoritmo de compresión aunque en las respuestas HTTP. Eso sí, como comentamos la información sensible ha de estar en las respuestas HTTP, el servidor por supuesto ha de utilizar compresión HTTP y el exploit requiere que la víctima visite primero un enlace malicioso."
Me queda un largo día revisando los papers de la BlackHat para ponerme al día, pero os dejo con el Paper de BREACH para amenizar estas tardes de verano.
Paper: http://www.iacr.org/cryptodb/archive/2002/FSE/3091/3091.pdf
Sed Buenos ;)
No hay comentarios:
Publicar un comentario