針對SSL/TLS的“中間人”攻擊并不少見，然而現在安全專家又研究出新的攻擊方式，那就是“不走中路”，進行旁路組合攻擊。這種方式并不需要中間人去嗅探流量，禁用第三方cookies能緩解這種攻擊的威脅。
傳統中間人攻擊者能夠嗅探或操控流量，這也是此類攻擊的先決條件之一。在今年的“黑帽（Black Hat）”安全會議上，兩位安全研究員拿出了新的組合旁路攻擊的方法，不需要中間人去嗅探流量。這種攻擊技術被稱為《HEIST: HTTP Encrypted Information can be Stolen through TCP-windows》，可利用通過TCP層傳輸的跨越響應包大小和SSL/TLS缺乏明文信息長度隱藏能力的弱點，去推斷出加密響應中包含的信息。研究人員利用這種方法可以解密和加密響應中包含的電子郵件地址、社會安全賬戶等敏感信息。
兩名研究員在公開發表報告前已經向谷歌和微軟提前披露了這一發現，他們的攻擊方式是通過在網站上展示第三方惡意廣告來實現的。研究人員稱，目前唯一緩和攻擊的方法是禁用第三方cookies，而目前大部分瀏覽器都默認接受第三方cookies，所以相關用戶還應該及時做好防范。
京公網安備 11010502049343號