Salesforce和Square工程师Angelo Prado和Neal Harris将在Blackhat USA 2013上发表《SSL，30秒破解-超越CRIME》的议题。他们将演示一个工具，在不破坏用户通信的基础上，通过旁信道漏洞在30秒内获取SSL中的全部信息，包括会话标识、CSRF和OAuth令牌以及ViewState隐藏值。如上所述，具体的攻击实现方法将在今年的Black Hat会议上讲解。
Angelo Prado说
“这是一个非常强大的工具，如果你了解工具的利用条件并且清楚你的攻击目标，你可以在不被受害者发现的情况下（不会有任何证书报错信息）破解SSL。”
如Prado所述，Salesforce和Square所做的一切建立在不久之前研究人员Juliano Rizzo和Thai Duong披的CRIME（Compression Ratio Info-leak Made Easy ）漏洞基础之上。
“当你在设计安全协议时，你可以实现正确的加密。但你不能够总是保持完全的机密性。当很多协议堆栈时，就可能在栈的某些层出现漏洞，从而破坏整个信任体系。”
推荐阅读（感谢anlfi补充）
相关讨论：
newborn (3级) 2013-07-03 1楼
听上去屌炸天了。赶紧回去把网银都关了
lion_00 (3级) 当当网安全攻城狮 2013-07-03 2楼
这个牛啊
superhacker 2013-07-03 3楼
各种牛逼啊
wce 2013-07-03 4楼
我草，很吊啊
马化腾 2013-07-03 5楼
我就不信你30秒能破解我的QQ密码
helen 2013-07-03 6楼
被GFW借鉴了就牛逼大了，劫持gmail都没有任何异常了
anlfi (1级) ??????????????????????????... 2013-07-03 7楼
padding？我想这个只是针对协议漏洞的某些长度吧 30s
方教授已经开发出了 可以过滤 跟踪SSL加密的协议的算法已经应用到GFW上了
小编不给力CRIME 是什么都不给介绍
我给你贴上本站有的连接吧
http://www.freebuf.com/articles/web/5636.html
http://www.freebuf.com/articles/system/5585.html
blackhat 也快开始了7月份啊呵呵
x0r16 (1级) 2013-07-05
@anlfi 补一下，四、五年前，在哪个在线论文库里就找到方校长主笔的关于https、SSL的解密和劫持的论文了，还不是一篇。至于是不是已经用到功夫墙上倒不清楚了。
thanks 2013-07-05
@x0r16 方校长能搞ssl解密？我还真不信，大学里学术论文一般就搭个ssl中间人劫持环境，假模假样截个图来点公式，最后准确率95.23%（最后一位必须为奇数，真实）
anlfi (1级) ??????????????????????????... 2013-07-03 8楼
padding？
方教授已经开发出了 可以过滤 跟踪SSL加密的协议的算法已经应用到GFW上了
小编不给力CRIME 是什么都不给介绍
我给你贴上本站有的连接吧
http://www.freebuf.com/articles/web/5636.html
http://www.freebuf.com/articles/system/5585.html
blackhat 也快开始了 内华达州，美国 – 7月27日至8月1日2013年
求大牛扩展我等屌丝的眼界
helen 2013-07-03 9楼
雕炸天了啊
305536777 (1级) 2013-07-03 10楼
弱 我都是目测的..10秒不到.
′admin (1级) 2013-07-05 11楼
5秒真男人撸过~
Die丶melody (1级) 2013-07-06 12楼
真的30s?