breach-attack - 如何防止 ASP.NET MVC Core 中的 BREACH 攻击？

Question

有人建议我在我们的 ASP.NET MVC Core 站点中实现以下项目以防止 BREACH 攻击。你如何实现它们？

• 将 secret 与用户输入分开。
• 随机化每个客户端请求中的 secret 。
• 屏蔽 secret (通过 XORing 与每个随机 secret 有效地随机化要求)。
• 通过添加随机数量的任意值来混淆网络响应​​的长度字节。

我们已经在每个表单上实现了反跨站点伪造 token 并关闭了 Http 级压缩。

如有任何帮助，我们将不胜感激。

这是由这个工具报告的:

https://www.acunetix.com/

提前谢谢你。

Answer 1

我所做的只是在 IIS 中禁用 HTTP 压缩，我们的安全扫描不再引发 BREACH ATTACH 问题。