質問: 最新のRails、Nginxで、SSLを使用しています。BREACH, CRIMEのセキュリティ的な問題から、Nginxのgzipをオフにしているのですが、gzip_types で text/css や application/javascript だけなら、利用しても大丈夫なのでしょうか?
回答: それらは、「ユーザーが制御可能な文字列」と「秘密の文字列」の両方がレスポンスに含まれる時に、二つの文字列が一致するかどうかで圧縮後のサイズが変化することを利用した攻撃です。 このような挙動を示すかどうかが重要であり、**レスポンスの形式は関係ありません**。動的に生成する場合、 CSS や Javascript であっても同様に注意が必要です。 もしあなたが「このMIMEタイプは動的に生成することはない」と言い切れるのであれば、そのような設定でも構わないように思います。 参考 SSL暗号を無効化する仕組み – BREACH, CRIME, etc | yohgaki's blog