2017-01-08 13 views
0

GoogleはHTTPを安全でないとみなし(チェックhere)、ChromeではHTTPサイトにアクセスすると警告メッセージが表示されます。そして今、私たちは無料のSSL、letsencryptを持っています。だから私は、ほぼすべてのサーバーに必ずHTTPSを使用すると仮定します。gzipをSSLやその他の方法で使用するにはどうすればよいですか?

次に、SSLでgzipを使用すると、Breach Attackというセキュリティ上の問題があることがわかりました。 SSLを使用しながらgzipの目的をどのように達成できるのでしょうか?

特に角張っているときは、それは非常に大きなサイズを持っています。今のところ、@angularに関連するメインファイル、CSS/SCSS/Webpackにバンドルされているスタイルファイル、外部のjavascriptファイルに関連するスクリプトファイルがあります。アプリケーションの場合、以下のようになります(Angular 2.3.1、AoT、production build)。

  • main.js:739K
  • main.js.gz:151K
  • styles.js:394K
  • styles.js.gz:100K
  • scripts.js:1.8M
  • scripts.js.gz:415K

メインファイルとスタイルファイルについては、gzipなしで大丈夫です。しかし、スクリプトファイルの場合、gzipなしでは本当に大きくなります。 1.8メガバイト...それは確かにモバイルのために重いでしょう。

しかし、私のアプリケーションはHTTPSを必要とするWebRTCを使用しています。だから、私のために固執しています。良い解決策はありますか?

答えて

0

BREACH攻撃は、攻撃者が(CSRFトークンのような)推測したい秘密と、攻撃者が管理するデータがコンテンツに反映されているコンテンツにのみ問題です。静的なJavascriptファイルやその他の静的ファイルには、このプロパティがないため、安全に圧縮できます。も参照してくださいIs gzipping content via TLS allowed?またはCurrent State of BREACH (GZIP SSL Attack)?

関連する問題