security - BREACH 漏洞的解决方案？

Question

我最近刚刚阅读了这个文档http://www.kb.cert.org/vuls/id/987798 我的问题是，为什么不添加一些随机的各种长度的 HTTP 标头，例如

HTTP 200 OK
Cache-Control:public, max-age=60
Content-Encoding:gzip
Content-Length:11669
Content-Type:text/html; charset=utf-8
asdfnak4r9q38:asdbf2984rqf // Header with random name and random value with various length

我们还可以在 html 头部部分添加一些随机数据。

为什么我错了？为什么这个解决方案可能不起作用？

谢谢

Answer 1

假设您的随机标头的长度是均匀分布的，那么您只是添加了噪声，从而增加了确保猜测所需的请求数量，而实际上并未减轻攻击。

如果每个猜测被重放足够多次以平衡随机长度标头引入的熵，那么平均而言，正确的猜测仍然会比不正确的猜测短。

与 CRIME 和 TIME 攻击一样，修复仍然是禁用 HTTP 压缩。