x-runtime は消すべきなのか - Qiita

Rails などの WAF の中にはサーバでの処理時間を x-runtime ヘッダとしてクライアントに返すものがありますが、セキュリティ上の観点から x-runtime ヘッダを消すことを奨励していることも多いです。それはなぜでしょうか。 Nginxでレスポンスヘッダの一部を隠蔽する方法 - Qiita Nginxセキュリティ設定 - Qiita Timing Attack なぜ x-runtime を消すのか。逆にいえば x-runtime を残すとどういうセキュリティ上のリスクがあるのか。 参照した記事に説明がないので推測でしかありませんが、 x-runtime を使って Timing Attack が可能になることを根拠にしているように思います。 Timing Attack とはサイドチャネル攻撃の一種で、 x-runtime の値をヒントにしてサーバ内のセキュアな情報を盗むことが

[takaesu]

timing attack O(n) だと危ない O(1)なアルゴリズムを利用する