Istraživači za računalnu sigurnost unaprijedili su BREACH (Browser Reconnaissance and Exfiltration via Adaptive Compression of Hypertext) napad star tri godine. BREACH napad iskorištava gzip/DEFLATE algoritam za sažimanje HTTP prometa kojeg koriste mnogi web poslužitelji kako bi komunikaciju učinili efikasnijom. Mehanizam sažimanja otkriva informacije o šifriranim vezama. Starije inačice BREACH napada bile su efikasne za veze koje su koristile RC4 simetrični kriptografski algoritam toka, dok je novija inačica efikasna i kod veza koje koriste danas zastupljeniji TLS block ciphers kao što je AES. Istraživači Karakostas i Zindros prošli su tjedan predstavili optimizirani napad kao i dokaz koncepta protiv Gmail i Facebook chata. BREACH zahtjeva da napadač ima mogućnost čitanja prometa žrtve nakon čega traži ranjivi dio aplikacije koja prima podatke kroz parametar URL-a, a zatim ga vraća kao šifrirani odgovor. Zadaća BREACH-a je poslati velike količine upita ranjivoj aplikaciji s ciljem pogađanja autentikacijskog tokena na temelju malih promjena u poslanim upitima i iskorištavanju već otkrivenih znakova. Ovo je svojevrsna brute-force metoda. Iako su neki servisi, uključujući Facebook, implementirali neke mehanizme za sprječavanje BREACH napada, izgleda da to nije dovoljono. Predloženi standard nazvan “first-party” ili “same-site cookies” mogao bi spriječiti BREACH napade ako ih prihvate web preglednici što je Google Chrome najavio za inačicu 51.
