Компиляция HTML/JavaScript для обеспечения безопасности

Question

Я просто столкнулся с this point, в котором содержится ссылка на уязвимость безопасности в веб-приложениях, которая зависит от просмотра размера зашифрованных веб-страниц для определения того, что делает использование. Самое простое решение этого, о котором я могу думать, - использовать инструмент для минимизации всего статического контента, чтобы (после шифрования) существовало лишь небольшое количество размеров результатов, чтобы минимизировать информацию, доступную для прослушивателя.

Есть ли инструменты для этого?

Answer 1

Нет, я не знаю инструмент, чтобы предотвратить эту атаку. Причина в том, что это очень ограниченная атака, которая не распространена в реальном мире. Многие криптоадрессы совершенно бесполезны в реальном мире.

Чтобы предотвратить эту атаку, сервер может добавлять случайное дополнение к сообщению. В случае асинхронных скриптов вы можете добавить элементы junk xml или json. В других случаях вы можете добавлять комментарии html или javascript. Это тривиально реализовать, и я не думаю, что это гарантирует «инструмент».

Военные сети делают это для защиты от этой самой атаки с использованием постоянного потока данных. Я думаю, что он реализовал эфир на транспортном или сетевом уровне. Было бы сложно вывести это на прикладном уровне с помощью http. Кроме того, ширина полосы частот намного меньше, что менее важно, чем военные секреты, где это, вероятно, не так с вашим веб-приложением.

Answer 2

Обязательным условием для минимизации статического содержимого является включение HTTP Compression. Это немного уменьшит количество результатов.

Но учтите, что если вы уменьшите содержимое до половины размера, то не обязательно будет только вдвое меньше размеров результатов! Это было бы только в том случае, если ваш исходный контент использовал все возможные размеры. Скажем, ваш исходный контент предлагает 4 разных размера: 10 КБ, 12 КБ и 14 КБ

Если ваше сжатие сокращает каждый из них до половины размера, вы все равно получите три разных размера: 5kB, 6kB и 7kB.

Примечание Для того, чтобы понять (возможно, это не было): Это скорее совет против использования минификации/сжатия. См. Также мой комментарий.