10937


最新のRails、Nginxで、SSLを使用しています。BREACH,
CRIMEのセキュリティ的な問題から、Nginxのgzipをオフにしているのですが、gzip_types で text/css や
application/javascript だけなら、利用しても大丈夫なのでしょうか？


CC BY-SA 3.0
2015-06-03T00:56:24.967
10918
2015-06-03T07:31:17.223
2015-06-03T07:31:10.907
8000
9860
question
nginx security
gzip_types を限定すれば BRACH・CRIME 攻撃を受ける心配はない？


それらは、「ユーザーが制御可能な文字列」と「秘密の文字列」の両方がレスポンスに含まれる時に、二つの文字列が一致するかどうかで圧縮後のサイズが変化することを利用した攻撃です。

このような挙動を示すかどうかが重要であり、 **レスポンスの形式は関係ありません** 。動的に生成する場合、 CSS や Javascript
であっても同様に注意が必要です。

もしあなたが「このMIMEタイプは動的に生成することはない」と言い切れるのであれば、そのような設定でも構わないように思います。

参考 [SSL暗号を無効化する仕組み – BREACH, CRIME, etc | yohgaki's
blog](http://blog.ohgaki.net/breach-attack-explained-why-and-how)


CC BY-SA 3.0
2015-06-03T07:31:17.223
10937
2015-06-03T07:31:17.223
8000
10918
answer