Privacy Violation: BREACH

このアプリケーションは SSL/TLS 対応チャネルで転送された HTTP レスポンスに含まれる機密データを漏洩する可能性があります。

Browser Reconnaissance and Exfiltration via Adaptive Compression of Hypertext (BREACH) 攻撃はサイドチャネル攻撃の一種であり、SSL/TLS 対応チャネルで転送された HTTP レスポンスに含まれる機密情報を攻撃者が盗むことを可能にします。既存の SSL/TLS バージョンおよび暗号はすべてこの攻撃を受ける可能性があります。次の 3 つの条件が満たされる場合、攻撃者はアプリケーションに対して BREACH 攻撃を実行できます。

1. アプリケーションがレスポンスで機密 (CSRF 防止トークンなど) を送信する。
2. アプリケーションが機密を含む同じレスポンスにユーザー入力を反映させる。
3. Web サーバーが HTTP 圧縮を使用するように設定されている。

gzip を使用して圧縮されたレスポンスのサイズは、そのコンテンツ内で観測される繰り返しの量により決定されます。そのため、文字の繰り返しが多ければ、それだけレスポンスのサイズが小さくなります。それにより、攻撃者は HTTP 圧縮をオラクルとして使用できます。反映させたパラメーター値を介してアプリケーションに与えた推測が正しいかどうかをそのオラクルに示させます。推測した文字が機密の文字に一致する場合、圧縮されたレスポンスのサイズは小さくなります。攻撃者はこのプロセスを利用し、各リクエストの圧縮率を分析することで、機密全体を一文字ずつ取得できます。

攻撃者はこの手法を利用すれば、安全なチャネルでコンテンツにサービスを提供するようにアプリケーションが設定されている場合でも、HTTP レスポンスから機密を抽出できます。

アプリケーションが BREACH 攻撃に対して脆弱であるかどうかを判断するには、HTTP 圧縮を有効にするようにアプリケーションが設定されているかどうかを最初に調べます。設定されている場合、保護する機密が含まれているレスポンスごとに、その中にユーザー入力が含まれているかどうかを判断します。

Django アプリケーションは CSRF トークンと GZip 圧縮を使用するように設定されているため、この問題が報告されています。

MIDDLEWARE = (
  ...
  'django.middleware.csrf.CsrfViewMiddleware',
  'django.middleware.gzip.GZipMiddleware',
  ...
)