HTTPSプロトコルはHTTP本文の長さをリークしますか？
MITM攻撃では、ハッカーはネットワークを介して送信されるHTTPSパケット全体のサイズ（つまり、HTTPヘッダーのサイズ+ HTTPボディ+オーバーヘッド）を知っているようです。それ以外に、HTTPSプロトコルでは、ハッカーがHTTP本体の長さ（圧縮されているかどうかにかかわらず）を回復することもできますか？
これは、「HTTPヘッダーにランダムな長さの文字列を追加する」ことで、圧縮されたHTTPボディの長さを隠してBREACH攻撃を軽減できる（ただし完全に防ぐことはできない）かどうかに関連しているためです。
答えが「いいえ」の場合、BREACH攻撃を緩和するために、ランダムな長さの文字列をHTTPボディではなくHTTPヘッダーに配置する他のリスクを知っている人はいますか？
ヘッダーとコンテンツを区別することは、通常、暗号解読の最も難しい部分ではありません。これは、ヘッダーには通常、特定の構造、共通の長さの範囲、制限された値のバリエーションが付属しているためです。
はい、SSL/TLSは、複数のクラスの攻撃に使用される可能性がある長さの詳細を漏らしています。場合によっては、攻撃者がコンテンツ情報を特定できる場合もあります。詳細については、自転車の攻撃を確認してください： https://www.scip.ch/en/?labs.20160317
このような攻撃を防ぐには、パディングが適しています。そのような機能を追加するセキュリティに関する定義による顕著な不利な点はありません。