Ataque de bicicleta

Un ataque de bicicleta HTTPS se refiere a un método para descubrir la longitud de las contraseñas en paquetes cifrados con protocolos TLS /SSL. ^{[ 1 ]} Para preparar un ataque de bicicleta, el atacante debe cargar la página objetivo para calcular el tamaño de los encabezados en la solicitud que un navegador web determinado realiza al servidor . Una vez que el atacante intercepta y registra la solicitud de la víctima, la longitud de la contraseña se puede deducir restando las longitudes conocidas de los encabezados a la longitud total de la solicitud. ^{[ 2 ]}

El término fue acuñado por primera vez el 30 de diciembre de 2015 por Guido Vranken, quien escribió:

"El nombre 'Ataque de Bicicleta TLS' se eligió por la similitud conceptual entre cómo el cifrado oculta el contenido y cómo el envoltorio de regalo oculta los objetos físicos. Mi ataque se basa en gran medida en la propiedad de los cifrados basados ​​en flujo en TLS de que el tamaño de las cargas útiles de datos de la aplicación TLS es directamente conocido por el atacante, y esto revela inadvertidamente información sobre el tamaño del texto plano ; de forma similar a como una bicicleta envuelta o cubierta con un envoltorio de regalo sigue siendo identificable como una bicicleta, porque al ocultarla de esa manera se conserva su forma subyacente. La razón por la que he nombrado este ataque es simplemente para que sea más fácil referirse a él para todos." ^{[ 2 ]} [énfasis añadido]

El ataque de la bicicleta facilita enormemente el descifrado de contraseñas por fuerza bruta , ya que solo es necesario probar contraseñas de longitud conocida. Esto demuestra que el tráfico HTTP cifrado con TLS no oculta por completo el tamaño exacto de su contenido.

• Seguridad informática