https加密也被破解 HEIST攻击从加密数据获取明文
在Black Hat 2016大会上,两名比利时的安全研究人员展示了他们今年的研究成果。他们发现了一个WEB攻击方式可以绕过HTTPS加密得到明文信息。他们把这种攻击方式叫做HEIST攻击。HEIST的全称是Encrypted Information can be Stolen through TCP-windows。大体意思就是通过TCP-windows协议可以窃取到加密的明文信息。
FreeBuf百科:TCP-Windows协议
这里得先说说什么是TCP-Windows协议。TCP-Windows协议也叫做TCP Receive Window,它是在TCP连接两端都有的缓冲区,用于暂时保存到来的数据。在这个缓冲区中的数据会被发送到应用程序中,为新到来的数据腾出空间。如果这个缓冲满了,那么数据的接收方会警告发送方在缓冲去清空之前已经不能在收取更多的数据了。这其中涉及到一些细节,但那都是很基本的东西。一般,设备会在TCP Header信息中通知对方当前它的TCPWindows的大小。
HEIST攻击的利用条件十分简单,只需要几行简单的javascript代码即可,并且无需借助中间人攻击。首先会先抓取并且保存传输的敏感数据,这个攻击方式可以获取到银行卡卡号,真实姓名,电话号码,社会安全号码等私人敏感信息。但是众所周知,这些数据大部分都是HTTPS加密的。然后再对其加密数据的大小长度进行一个探测。有很多网站都会使用文件压缩技术来提升网页的加载速度,而攻击者正好可以利用其中的设计缺陷来解密数据payload(类似BREACH攻击和CRIME攻击)。
HEIST技术可以利用新的API(Resource Timing和Fetch)来计算出目标主机发送的传输帧和窗口的数量。在整个处理过程中,研究人员可以利用一段JavaScript代码来确定HTTPS响应信息的实际大小。然后,恶意HEIST代码就可以配合BREACH技术来从用户的请求数据中提取出加密信息了。
具体的攻击流程图
据了解,在周三的演示过程中,安全研究人员将会演示如何利用纽约时报官网中的恶意广告来精确测量出经过加密处理的响应信息大小。在整个过程中,安全研究人员将会使用一个虚拟的第三方网站(targetwebsite.com)来发送加密信息。除此之外,他们还将会演示如何从用于防止跨站请求伪造攻击的安全令牌中推测出数据信息。
虽然目前一些网站部署了基本的安全措施,但是大多都不能够预防HEIST攻击,所以这类攻击方式在最近这几年或许会变得频繁起来。目前针对HEIST攻击的预防方法,要么禁用第三方的cookie,要么禁止javascript脚本。但是第三方的cookie和javascript都是普通用户访问web的基本要求,所以这两名研究人员也希望通过Black Hat大会一同寻找和制定一个合理有效的解决方案。
推荐系统
番茄花园Ghost Win7 x64 SP1稳定装机版2022年7月(64位) 高速下载
语言:中文版系统大小:3.91GB系统类型:Win7欢迎使用 番茄花园 Ghost Win7 x64 SP1 2022.07 极速装机版 专业装机版具有更安全、更稳定、更人性化等特点。集成最常用的装机软件,集成最全面的硬件驱动,精心挑选的系统维护工具,加上独有人性化的设计。是电脑城、个人、公司快速装机之首选!拥有此系统
番茄花园 Windows 10 极速企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言:中文版系统大小:3.98GB系统类型:Win10番茄花园 Windows 10 32位极速企业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动激活
新萝卜家园电脑城专用系统 Windows10 x86 企业版 版本1507 2022年7月(32位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10新萝卜家园电脑城专用系统 Windows10 x86企业版 2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程
笔记本&台式机专用系统 Windows10 企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言:中文版系统大小:3.98GB系统类型:Win10笔记本台式机专用系统 Windows 10 32位企业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过
笔记本&台式机专用系统 Windows10 企业版 版本1903 2022年7月(64位) 提供下载
语言:中文版系统大小:3.98GB系统类型:Win10笔记本台式机专用系统 Windows10 64专业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的专业版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动
雨林木风 Windows10 x64 企业装机版 版本1903 2022年7月(64位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10新雨林木风 Windows10 x64 企业装机版 2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动激活
深度技术 Windows 10 x64 企业版 电脑城装机版 版本1903 2022年7月(64位) 高速下载
语言:中文版系统大小:3.98GB系统类型:Win10深度技术 Windows 10 x64 企业TLSB 电脑城装机版2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程
电脑公司 装机专用系统Windows10 x64 企业版2022年7月(64位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10电脑公司 装机专用系统 Windows10 x64 企业TLSB版2022年7月一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过
相关文章
- Adobe Flash Player 18.0.0.209更新下载:修复最漂亮漏洞
- Windows集群网络配置最佳做法
- 网络监听攻击—数据包捕捉与协议分析
- 更新win10后网络连接受限该怎么办?win10太网受限的两种解决办法
- 数据安全知识:了解无线数据加密的方法
- 有什么有效的方法能禁止员工将公司电脑中的文件拷贝出去、禁止员工复制公司电脑文件
- Nagios插件超长位置头远程缓冲区溢出漏洞
- 网络瘫痪故障一例:成也插线 败也插线
- Google的博客blogspot.com窃取cookie漏洞
- IBM Rational ClearQuest 跨站脚本漏洞
- 微软Office存在一个严重漏洞:修复方法在此
- phpinfo跨站脚本漏洞
- 怎么看DNS是否被劫持 电脑及路由器判断DNS被劫持方法介绍
- 3389无法连接的5种原因分析
热门系统
- 1华硕笔记本&台式机专用系统 GhostWin7 32位正式旗舰版2018年8月(32位)ISO镜像下载
- 2雨林木风 Ghost Win7 SP1 装机版 2020年4月(32位) 提供下载
- 3深度技术 Windows 10 x86 企业版 电脑城装机版2018年10月(32位) ISO镜像免费下载
- 4电脑公司 装机专用系统Windows10 x86喜迎国庆 企业版2020年10月(32位) ISO镜像快速下载
- 5深度技术 Windows 10 x86 企业版 六一节 电脑城装机版 版本1903 2022年6月(32位) ISO镜像免费下载
- 6深度技术 Windows 10 x64 企业版 电脑城装机版2021年1月(64位) 高速下载
- 7新萝卜家园电脑城专用系统 Windows10 x64 企业版2019年10月(64位) ISO镜像免费下载
- 8新萝卜家园 GhostWin7 SP1 最新电脑城极速装机版2018年8月(32位)ISO镜像下载
- 9电脑公司Ghost Win8.1 x32 精选纯净版2022年5月(免激活) ISO镜像高速下载
- 10新萝卜家园Ghost Win8.1 X32 最新纯净版2018年05(自动激活) ISO镜像免费下载
热门文章
常用系统
- 1深度技术 GHOSTXPSP3 六一节 电脑城极速装机版 2022年6月 ISO镜像高速下载
- 2深度技术 Ghost Win7 x64 Sp1 电脑城纯净版2021年10月(64位) ISO镜像高速下载
- 3新萝卜家园电脑城专用系统 Windows10 x64 企业版2020年3月(64位) ISO镜像免费下载
- 4深度技术 Ghost Win7 x64 Sp1 电脑城装机版2018年10月(64位) ISO镜像快速下载
- 5雨林木风系统 Ghost XP SP3 元旦特别 装机版 YN2022年1月 ISO镜像高速下载
- 6深度技术 Windows 10 x64 企业版 电脑城装机版 版本1903 2022年7月(64位) 高速下载
- 7新萝卜家园电脑城专用系统 Windows10 x86 企业版2019年10月(32位) ISO镜像高速下载
- 8番茄花园Ghost Win8.1 x64 办公纯净版2021年2月(激活版) ISO镜像高速下载
- 9雨林木风Ghost Win8.1 (X32) 六一节 快速纯净版2021年6月(免激活) ISO镜像快速下载
- 10雨林木风Ghost Win7 x64 SP1 极速装机版2021年11月(64位) 高速下载