HTML / JavaScript-компиляция для безопасности

Question

Я только что натолкнулся на этот пункт , который ссылается на уязвимость безопасности в веб-приложениях, которая зависит от размера зашифрованных веб-страниц, чтобы определить, что делает использование. Самое простое решение этого вопроса, о котором я могу подумать, - это использовать инструмент для минимизации всего статического содержимого, чтобы (после шифрования) существовало лишь небольшое количество размеров результатов, чтобы минимизировать информацию, доступную для перехватчика.

Есть ли инструменты для этого?

Answer 1

По умолчанию для минимизации статического содержимого необходимо включить Сжатие HTTP . Это немного уменьшило бы количество результатов.

Но учтите, что если вы сократите контент до половины размера, не обязательно будет только половина размера результата! Это будет иметь место только в том случае, если ваш оригинальный контент использует все возможные размеры. Допустим, ваш оригинальный контент предлагает 4 разных размера: 10 КБ, 12 КБ и 14 КБ

Если ваше сжатие сократит каждый из них до половины, вы все равно получите три разных размера: 5 КБ, 6 КБ и 7 КБ.

Примечание Чтобы было ясно (возможно, это не так): Это скорее совет против , использующий минификацию / сжатие. Смотрите также мой комментарий.

Answer 2

Нет, я не знаю инструмента для предотвращения этой атаки. Причина в том, что это очень ограниченная атака, которая не распространена в реальном мире. Многие крипто-атаки совершенно бесполезны в реальном мире.

Чтобы предотвратить эту атаку, сервер может добавить к сообщению произвольный отступ. В случае async-скриптов вы можете добавить ненужные элементы xml или json. В других случаях вы можете добавить комментарии html или javascript. Это тривиально для реализации, и я не думаю, что это требует «инструмента».

Военные сети делают это для защиты от этой самой атаки, используя постоянный поток данных. Я думаю, что он реализовал эфир на транспортном или сетевом уровне. Было бы сложно осуществить это на уровне приложений с помощью http. Кроме того, пропускная способность на намного менее важна, чем военные секреты, хотя это, вероятно, не относится к вашему веб-приложению.