3.3. 圧縮 (Compression)

圧縮関連の攻撃 ([RFC7457] のセクション2.6で要約) を防ぐために、実装および展開は、問題のアプリケーションプロトコルがそのような攻撃に対してオープンでないことが示されていない限り、TLSレベルの圧縮 ([RFC5246] のセクション6.2.2) を無効にすべきです (SHOULD)。

理由: TLS圧縮は、CRIME攻撃などのセキュリティ攻撃の対象となっています。

実装者は、より高いプロトコルレベルでの圧縮により、アクティブな攻撃者が接続から平文情報を抽出できることに注意する必要があります。BREACH攻撃はそのようなケースの1つです。これらの問題はTLS外部でのみ軽減でき、したがって本文書の範囲外です。詳細については [RFC7457] のセクション2.6を参照してください。