HTTP 압축

3. Content-Encoding 토큰

서버와 클라이언트에서 사용할 수 있는 공식 및 비공식적인 압축 방식 토큰 목록이 있다.^[4] 공식 토큰과 비공식 토큰에 대한 자세한 내용은 각각 공식 토큰과 비공식 토큰 하위 섹션에서 확인할 수 있다.

3. 1. 공식 토큰

이 외에도 서버 또는 클라이언트에서 비공식적이거나 표준화되지 않은 토큰이 사용된다.

• bzip2 – 무료 bzip2 형식을 기반으로 하는 압축, lighttpd에서 지원^[7]
• lzma – (raw) LZMA를 기반으로 하는 압축은 Opera 20에서 사용할 수 있으며, 컴파일 시간 옵션을 통해 elinks에서도 사용할 수 있다.^[8]
• peerdist^[9] – Microsoft 피어 콘텐츠 캐싱 및 검색
• rsync^[10] – HTTP에서 델타 인코딩, ''rproxy'' 프록시 쌍으로 구현됨.
• xpress – Windows 8 이상에서 Windows 스토어 응용 프로그램 업데이트에 사용되는 Microsoft 압축 프로토콜. LZ77 기반 압축은 선택적으로 허프만 인코딩을 사용한다.^[11]
• xz – LZMA2 기반 콘텐츠 압축, 비공식적인 Firefox 패치로 지원;^[12] 2013-12-31부터 mget에 완전히 구현되었다.^[13]

3. 2. 비공식 토큰

• bzip2 - lighttpd에서 지원하는 무료 bzip2 형식을 기반으로 하는 압축이다.^[7]
• lzma – Opera 20 및 컴파일 시간 옵션을 통해 elinks에서 사용할 수 있는 (raw) LZMA 기반 압축이다.^[8]
• peerdist - Microsoft 피어 콘텐츠 캐싱 및 검색이다.^[9]
• rsync^[10] - ''rproxy'' 프록시 쌍으로 구현된 HTTP에서 델타 인코딩이다.
• xpress - Windows 8 이상에서 Windows 스토어 응용 프로그램 업데이트에 사용되는 Microsoft 압축 프로토콜. 선택적으로 허프만 인코딩을 사용하는 LZ77 기반 압축이다.^[11]
• xz – 비공식적인 Firefox 패치로 지원되는 LZMA2 기반 콘텐츠 압축이다.^[12] 2013-12-31부터 mget에 완전히 구현되었다.^[13]

4. HTTP 압축 지원 서버

HTTP 압축을 지원하는 주요 서버는 다음과 같다.

HTTP 압축의 작동 구현을 확인하기 위해 다양한 온라인 도구가 존재한다. 이러한 온라인 도구는 일반적으로 서로 다른 요청 헤더(Accept-Encoding 콘텐츠가 다름)를 가진 URL의 여러 변형을 요청한다. HTTP 압축은 서버가 압축된 형식으로 문서를 반환할 때 올바르게 구현된 것으로 간주된다.^[17]

4. 1. 주요 지원 서버

• SAP NetWeaver
• 마이크로소프트 IIS - 내장 또는 타사 모듈 사용
• 아파치 HTTP 서버 - '''[https://httpd.apache.org/docs/current/mod/mod_deflate.html mod_deflate]''' (이름과 달리 gzip만 지원)^[14], '''[https://httpd.apache.org/docs/current/mod/mod_brotli.html mod_brotli]'''를 통해 지원.
• Hiawatha HTTP 서버 - 미리 압축된 파일 제공^[15]
• 체로키 HTTP 서버 - 즉석 gzip 및 deflate 압축 지원
• 오라클 iPlanet 웹 서버
• 제우스 웹 서버
• lighttpd
• nginx - 내장
• Tornado - 애플리케이션 설정에서 "compress_response"를 True로 설정한 경우 (4.0 이전 버전은 "gzip"을 True로 설정)
• Jetty 서버 - 기본 정적 콘텐츠 제공에 내장, 서블릿 필터 구성으로 사용 가능
• GeoServer
• 아파치 톰캣
• IBM 웹스피어
• AOL 서버
• 루비 Rack - '''Rack::Deflater''' 미들웨어를 통해 지원
• HAProxy
• 바니시 - 내장. ESI와도 작동
• [https://line.github.io/armeria/ Armeria] - 미리 압축된 파일 제공^[16]
• NaviServer - 내장, 동적 및 정적 압축 지원
• Caddy - [https://caddyserver.com/docs/caddyfile/directives/encode encode]를 통해 내장

4. 2. 기타 지원 방식

5. HTTP 압축 사용 문제점

HTTP 압축을 사용하지 못하면 페이지 로딩 시간이 늘어나 사용자 경험이 저하되며, 이는 생산성 저하로 이어진다.^[18] 이러한 문제는 안티 바이러스 소프트웨어, 프록시, 서버 구성 오류, 브라우저 버그 등 다양한 원인으로 발생할 수 있다. 특히 Internet Explorer 6는 압축을 지원하지 않아 문제가 더 자주 발생했다.^[18]

또한, '''deflate''' 인코딩의 정의와 구현 방식의 차이도 HTTP 압축의 신뢰성을 떨어뜨리는 요인 중 하나이다.

5. 1. 성능 저하 요인

5. 2. Deflate 인코딩 문제

6. 보안 고려 사항

HTTP 압축은 선택 평문 공격에 취약할 수 있다. 공격자는 암호화된 데이터 스트림의 크기 변화를 관찰하여 페이지에 특정 정보가 있는지 추측할 수 있는데, 이는 삽입된 콘텐츠와 비밀 정보가 겹칠 때 압축 효율이 높아지는 원리를 이용한다.

2012년에는 CRIME 공격이 공개되었는데, 이는 TLS 등 다양한 프로토콜에 영향을 미칠 수 있다. TLS 및 SPDY에 대한 CRIME 공격은 완화되었지만, HTTP 압축에 대한 공격은 여전히 해결되지 않았다.

2013년에는 BREACH 공격이 발표되었다. BREACH는 HTTP 압축을 악용하며, TLS/SSL 버전에 관계없이 로그인 정보 등 민감한 데이터를 빠르게 탈취할 수 있다.^[22][23] HTTP 압축은 대부분의 웹 서버에서 사용되므로 사실상 BREACH 공격을 완전히 막기는 어렵다.

2016년에는 TIME, HEIST와 같은 추가적인 공격도 알려졌다.^{[24][25][26][27]}

6. 1. CRIME 공격

6. 2. BREACH 공격

6. 3. 기타 공격

참조

_[1] 웹사이트 Using HTTP Compression (IIS 6.0) http://www.microsoft[...] Microsoft Corporation 2010-02-09
_[2] 문서 RFC 2616, Section 3.5: "The Internet Assigned Numbers Authority (IANA) acts as a registry for content-coding value tokens."
_[3] Chromium 'RFC2616 "Transfer-Encoding: gzip, chunked" not handled properly' https://code.google.[...]
_[4] 웹사이트 Hypertext Transfer Protocol Parameters - HTTP Content Coding Registry https://www.iana.org[...] IANA 2014-04-18
_[5] 웹사이트 Compression Tests: Results http://www.vervestud[...] Verve Studios, Co 2012-07-19
_[6] 웹사이트 JSR 200: Network Transfer Format for Java Archives https://jcp.org/en/j[...] The Java Community Process Program
_[7] 웹사이트 ModCompress - Lighttpd http://redmine.light[...] lighty labs 2014-04-18
_[8] 문서 elinks LZMA decompression http://elinks.or.cz/[...]
_[9] 웹사이트 '[MS-PCCRTP]: Peer Content Caching and Retrieval: Hypertext Transfer Protocol (HTTP) Extensions' http://msdn.microsof[...] Microsoft 2014-04-19
_[10] 웹사이트 rproxy: Protocol Definition for HTTP rsync Encoding https://rproxy.samba[...]
_[11] 웹사이트 '[MS-XCA]: Xpress Compression Algorithm' https://msdn.microso[...] 2015-08-29
_[12] 웹사이트 LZMA2 Compression - MozillaWiki https://wiki.mozilla[...] 2014-04-18
_[13] 웹사이트 mget GitHub project page https://github.com/r[...] 2017-01-06
_[14] 웹사이트 mod_deflate - Apache HTTP Server Version 2.4 - Supported Encodings http://httpd.apache.[...]
_[15] 웹사이트 Extra part of Hiawatha webserver's manual http://www.hiawatha-[...] 2012-01-25
_[16] 웹사이트 Serving static files part of Armeria's documentation https://line.github.[...]
_[17] 웹사이트 How does the gzip compression check work? https://httptools.de[...]
_[18] 웹사이트 Use compression to make the web faster https://developers.g[...] Google Inc. 2013-05-22
_[19] 웹사이트 deflate - Why are major web sites using gzip? https://stackoverflo[...] Stack Overflow 2014-04-18
_[20] 웹사이트 Compression Tests: About http://www.vervestud[...] Verve Studios 2014-04-18
_[21] 웹사이트 Lose the wait: HTTP Compression http://zoompf.com/bl[...] Zoompf Web Performance 2014-04-18
_[22] 웹사이트 Gone in 30 seconds: New attack plucks secrets from HTTPS-protected pages https://arstechnica.[...] Condé Nast 2013-08-01
_[23] 웹사이트 Step into the BREACH: New attack developed to read encrypted web data https://www.theregis[...] 2013-08-02
_[24] 웹사이트 CRIME, TIME, BREACH and HEIST: A brief history of compression oracle attacks on HTTPS https://www.helpnets[...] 2016-08-11
_[25] 웹사이트 HEIST exploit — New attack steals SSNs, e-mail addresses, and more from HTTPS pages https://arstechnica.[...] 2016-08-03
_[26] 웹사이트 A Perfect Crime? TIME will tell. https://www.owasp.or[...]
_[27] 웹사이트 HEIST: HTTP Encrypted Information can be Stolen through TCP-windows https://www.blackhat[...]
_[28] 웹인용 Using HTTP Compression (IIS 6.0) http://www.microsoft[...] Microsoft Corporation 2010-02-09
_[29] 문서 RFC 2616, Section 3.5: "The Internet Assigned Numbers Authority (IANA) acts as a registry for content-coding value tokens."
_[30] 크로미엄 (웹 브라우저) 'RFC2616 "Transfer-Encoding: gzip, chunked" not handled properly' https://code.google.[...]
_[31] 웹인용 mod_deflate - Apache HTTP Server Version 2.4 - Supported Encodings http://httpd.apache.[...]
_[32] 웹인용 Extra part of Hiawatha webserver's manual http://www.hiawatha-[...] 2019-04-20