Privacy Violation: BREACH

应用程序可能会泄露通过 SSL/TLS 支持的通道传输的 HTTP 响应中所包含的敏感数据。

此类攻击属于旁路攻击，它通过自适应超文本压缩的浏览器进行勘测与渗透 (BREACH)，即使采用 SSL/TLS 通道传输，攻击者还是可以从 HTTP 响应中窃取到敏感信息。目前所有的 SSL/TLS 版本和密码都容易受到这种攻击。如果满足以下三个条件，攻击者就能成功对应用程序执行 BREACH 攻击：

1. 应用程序在响应中传输密钥（例如，反 CSRF 标记）。
2. 应用程序在包含密钥的相同响应中反映用户输入。
3. 配置 Web 服务器以使用 HTTP 压缩。

使用 gzip 压缩的响应大小取决于在其内容中观察到的重复量。因此，字符的重复频率越高，响应就越小。这使攻击者可以使用 HTTP 压缩作为攻击工具，它能指出攻击者通过返回的参数值向应用程序提供的猜测是否正确。如果猜到的字符与密钥中的对应字符一致，则压缩的响应就比较小。攻击者可使用此过程通过对每个请求的压缩率进行分析，逐字符获得整个密钥。

即使应用程序配置为通过安全渠道来提供内容，攻击者也可使用此技术从 HTTP 响应中提取密钥。

要评估应用程序是否容易受到 BREACH 攻击，首先应查看应用程序是否配置为支持 HTTP 压缩。如果是，则对于包含待保护密钥的每个响应，评估其是否包含用户输入。

由于 Django 应用程序配置为使用 CSRF 标记和 GZip 压缩，因此已报告此问题：

MIDDLEWARE = (
  ...
  'django.middleware.csrf.CsrfViewMiddleware',
  'django.middleware.gzip.GZipMiddleware',
  ...
)