A kutatók egy újfajta támadást fedtek fel, amelynek során a TLS szerverek hibás konfigurációit kihasználva a támadó átirányíthatja a HTTPS forgalmat az áldozat webböngészőjéből egy másik TLS szolgáltatás végpontjára, és ezáltal érzékeny információkhoz juthat. A módszert a Ruhr, a münsteri és a paderborni egyetemek akadémikusaiból álló csoport ALPACA-nak nevezte el, ami az “Application Layer Protocol Confusion – Analyzing and mitigating Cracks in tls Authentication” rövidítése. Az ALPACA támadás abból adódik, hogy a TLS alapvetően nem köti a TCP-kapcsolatot a megcélzott alkalmazási réteg protokolljához, és ezzel a TCP-kapcsolat integritásának védelmére vonatkozó hibával vissza lehet élni. A kutatók egy kísérlet során azt találták, hogy legalább 1,4 millió webkiszolgáló volt sebezhető az ilyen típusú támadásokkal szemben. A cross-protocol támadások kivédésére a szakemberek a TLS ALPN (Application Layer Protocol Negotiation) és SNI (Server Name Indication) bővítmények használatát javasolják, amelyekkel a kliens a kapcsolatfelépítési folyamat elején tájékoztatja a szervert a biztonságos kapcsolaton keresztül használni kívánt protokollról és a hostnévről.
