【发布时间】：2013-08-09 04:41:26
【问题描述】：
我一直在阅读有关 BREACH attack 的信息，尽管这也是一种涉及服务器级别的 Web 应用程序的攻击，但我想知道 Rails 中是否有阻止此类攻击的方法。
我发现breach-mitigation-rails 他们说这不是一个防弹解决方案，只是为了以某种方式减轻攻击。附近还有什么？
【问题讨论】：
标签： ruby-on-rails security ssl csrf
【发布时间】：2013-08-09 04:41:26
【问题描述】：
BREACH 的演示者已提交a website with further details。列出的缓解措施（按有效性排序）是：
- 禁用 HTTP 压缩
- 从用户输入中分离秘密
- 根据请求随机化秘密
- 掩盖秘密
- 使用 CSRF 保护易受攻击的页面
- 长度隐藏
- 限速请求
HTTP 压缩可以很容易地在服务器上禁用，但会牺牲效率。
breach-mitigation-rails gem 地址点 #4 和 #6。它可能会破坏缓存并增加页面大小。
Another interesting fix 适用于第 4 点，对效率没有任何负面影响，但它确实需要 javascript（无论如何这有助于减少垃圾邮件提交）。
一个official fix is also being discussed。
您可能还会发现这个与 Rails 无关的问题很有趣 - https://security.stackexchange.com/questions/39925/breach-a-new-attack-against-http-what-can-be-done。
【讨论】：
【讨论】：
-
糟糕，我错过了原始答案中的链接，抱歉重复。