lz-string 보안에 대한 질문

Question

클라이언트단에서 data를 압축하여 서버에 보내려고 관련 라이브러리를 찾아봤는데 lz-string 이 괜찮다고 하더라구요.lz-string을 사용하여 클라이언트에서 data 압축하고 해제할 때 보안 관련한 이슈가 발생할 수 있을까요?

allinux · Answer

앞뒤도 없이 압축 라이브러리명 하나 올리고 "보안 이슈가 있는가" 라고 물으면 누가 답하겠습니까...인터넷 환경에서 서비스 됩니까? 혹은 private 한 환경에서 서비스 됩니까?클라이언트 와 서버는 어떤 프로토콜로 통신을 합니까?중요한 정보를 압축합니까?생각하는 보안 이슈가 어떤 종류를 말하는 겁니까? 예를들어 스니핑?

캐티 · Answer

압축을 사용하는 경우에 보안 위협이 있어요.[1] ASP.NET Core의 응답 압축 | Microsoft LearnHTTPS를 사용하여 압축하는 경우에 CRIME, BREACH 공격에 취약해진다고 해요! 이런 경우 위조 방지 토큰을 사용하여야 한다고 되어있고요.암호를 깨뜨리는 기법에 취약하므로 보안에 중요한 데이터는 압축하지 않는 것이 안전하지 않겠나요. 특정 크기 이하의 데이터는 압축하지 않고 보내는 것이 더 빨라서 압축이 적용되지 않는데 크키가 작게 유지하는 것이 좋을 것이어요. 저런 공격이 가능한 이유를 살펴보면 여러가지 압축 기법을 놓고 여러번 데이터를 받아서 이케이케 하면 중간에 데이터를 가로챌 수 있다는 것이지 않겠나요.

lz-string 보안에 대한 질문

2개의 답변

Q&A 목록