Làm thế nào để tránh các cuộc tấn công BREACH trong đường ray?

Question

Tôi đã đọc về BREACH attack và, coi thường là một cuộc tấn công liên quan đến một ứng dụng web ở cấp độ máy chủ, tôi đã tự hỏi nếu có điều gì đó để chặn các loại tấn công trong Rails.
Tôi đã tìm thấy breach-mitigation-rails mà họ nói không phải là giải pháp chống đạn, chỉ để giảm thiểu một cuộc tấn công trong một vài ngày. Cái gì khác xung quanh đó?

Answer 1

Các diễn giả của BREACH đã đăng ký a website with further details. Các giải pháp giảm thiểu được liệt kê, sắp xếp theo hiệu quả, bao gồm:

1. Vô hiệu hóa HTTP nén
2. Tách bí mật từ người dùng nhập vào
3. bí mật ngẫu nhiên cho mỗi yêu cầu
4. Masking bí mật
5. Bảo vệ trang dễ bị tổn thương với CSRF
6. Độ dài ẩn
7. Yêu cầu giới hạn tốc độ

Nén HTTP có thể dễ dàng bị vô hiệu hóa tại máy chủ, với chi phí hiệu quả.

Các địa chỉ breach-mitigation-rails gem điểm # 4 và # 6. Nó có khả năng phá vỡ bộ nhớ đệm và tăng kích thước trang.

Another interesting fix hoạt động trên điểm số 4, không có tác động tiêu cực nào đến hiệu quả, nhưng nó yêu cầu javascript (có thể giúp giảm thiểu việc gửi spam).

An official fix is also being discussed.

Bạn cũng có thể tìm thấy câu hỏi không có đường ray cụ thể này thú vị - https://security.stackexchange.com/questions/39925/breach-a-new-attack-against-http-what-can-be-done.

Answer 2

giải pháp phần Nice cho đường ray:

http://blog.meldium.com/home/2013/8/2/running-rails-defend-yourself-against-breach

https://github.com/meldium/breach-mitigation-rails