Велосипедная атака
Велосипедная атака HTTPS — это метод определения длины пароля в пакетах, зашифрованных с помощью протоколов TLS /SSL. [1] При подготовке к велосипедной атаке злоумышленник должен загрузить целевую страницу, чтобы вычислить размеры заголовков в запросе, сделанном данным веб-браузером к серверу . После того, как злоумышленник перехватывает и распознает браузером запрос жертвы, длину пароля можно определить, вычитая известную длину заголовка из общей длины запроса. [2]
Этот термин был впервые введен 30 декабря 2015 года Гвидо Вранкеном, который писал:
«Название TLS Bicycle Attack было выбрано из-за концептуального сходства между тем, как шифрование скрывает контент, а подарочная упаковка скрывает физические объекты. Моя атака во многом опирается на свойство потоковых шифров в TLS, согласно которому размер полезных данных приложения TLS известен напрямую. злоумышленнику, и это непреднамеренно раскрывает информацию о размере открытого текста ; аналогично тому, как велосипед в драпированной или подарочной упаковке все еще можно идентифицировать как велосипед, потому что такая маскировка сохраняет основную форму. Причина, по которой я назвал эту атаку. все только для того, чтобы облегчить обращение к нему для всех». [2] [курсив добавлен]
Велосипедная атака значительно упрощает подбор паролей, поскольку необходимо проверять только пароли известной длины. Это демонстрирует, что TLS , трафик, зашифрованный HTTP- не полностью скрывает точный размер его содержимого.
См. также [ править ]
Ссылки [ править ]
- ^ Харша, Бенджамин; Мортон, Роберт; Блоки, Иеремия; Спрингер, Джон; Дарк, Мелисса (01 января 2021 г.). «Велосипедные атаки считаются вредными: количественная оценка ущерба от широко распространенной утечки длины пароля» . Компьютеры и безопасность . 100 : 102068. arXiv : 2002.01513 . дои : 10.1016/j.cose.2020.102068 . ISSN 0167-4048 . S2CID 211032131 .
- ^ Jump up to: Перейти обратно: а б Вранкен, Гвидо (30 декабря 2015 г.). «Велосипедная атака HTTPS» (PDF) . Проверено 15 октября 2021 г.