ruby-on-rails - レールでBREACH攻撃を回避するには?

Question

私はBREACH 攻撃について読んでいましたが、これはサーバー レベルの Web アプリケーションも関与する攻撃であるにもかかわらず、Rails でこの種の攻撃をブロックする何かがあるかどうか疑問に思っていました。
私は、攻撃を何らかの形で緩和するためだけに、防弾ソリューションではないと彼らが言う違反軽減レールを見つけました。その辺に何かある？

Answer 1

BREACH のプレゼンターは、詳細を記載した Web サイトを公開しています。リストされている軽減策は、有効性の順に次のとおりです。

1. HTTP 圧縮の無効化
2. ユーザー入力からシークレットを分離する
3. リクエストごとのシークレットのランダム化
4. マスキングの秘密
5. CSRF による脆弱なページの保護
6. 長さ隠し
7. レート制限リクエスト

HTTP 圧縮は、効率を犠牲にして、サーバーでかなり簡単に無効にすることができます。

violation -mitigation-rails gemは、ポイント 4 と 6 に対処します。キャッシュが壊れてページサイズが大きくなる可能性があります。

別の興味深い修正はポイント 4 で機能し、効率に悪影響を与えることはありませんが、javascript が必要です (いずれにせよ、スパムの送信を減らすのに役立ちます)。

公式の修正も検討中です。

このレール固有ではない質問も興味深いかもしれません - https://security.stackexchange.com/questions/39925/breach-a-new-attack-against-http-what-c​​an -be-done 。

Answer 2

レールの素敵な部分的な解決策:

http://blog.meldium.com/home/2013/8/2/running-rails-defend-yourself-against-breach

https://github.com/meldium/breach-mitigation-rails