HTTPS je trenutno primarni protokol za web aplikacije, pružajući brzu i sigurnu vezu s određenim nivoom povjerljivosti i integriteta. Međutim, HTTPS ne može garantovati sigurnost podataka zahtjeva tokom obrade, što predstavlja rizike i ranjivosti unutar IT okruženja.
S obzirom na ovo, dvoje zaposlenih u Intelu vjeruju da se web usluge mogu učiniti sigurnijim ne samo izvođenjem proračuna u pouzdanim okruženjima za udaljeno izvršavanje, ili TEE, već i provjeravanjem za klijente da je to urađeno.
Gordon King , softverski inženjer, i Hans Wang, istraživač u Intel Labsu, predložili su protokol koji bi to omogućio. U radu pod nazivom " HTTPA: HTTPS Attetable Protocol", nedavno objavljenom na arXiv-u, opisuju HTTP protokol pod nazivom HTTPS Attetable (HTTPA) za poboljšanje online sigurnosti putem udaljene certifikacije.
Način da aplikacije steknu sigurnost da će podaci biti obrađivani pouzdanim softverom u okruženjima bezbednog izvršavanja. Može se koristiti hardversko zasnovano pouzdano okruženje za izvršavanje (TEE), kao što je Intel Software Guard Extension (Intel SGX).
Intel Software Guard Extension (Intel SGX) omogućava enkripciju u memoriji kako bi se zaštitila pokrenuta izračunavanja i smanjio rizik od curenja ili neovlaštene izmjene privatnih informacija. Osnovni koncept SGX-a omogućava da se izračunavanja odvijaju unutar sigurnog okruženja, zaštićenog okruženja koje šifrira kod i podatke povezane sa sigurnosno osjetljivim izračunavanjima.
Osim toga, SGX nudi sigurnosne garancije putem udaljene certifikacije za web klijenta, uključujući identitet provajdera i identitet za verifikaciju.
„Ovdje nudimo HTTPS Attestable HTTP Protocol (HTTPA), koji uključuje proces daljinske atestiranja na HTTPS protokolu radi rješavanja pitanja privatnosti i sigurnosti“, kaže Intel.
"Sa HTTPA-om možemo pružiti sigurnosne garancije za uspostavljanje pouzdanosti web servisa i osiguravanje integriteta obrade zahtjeva za web korisnike", kažu King i Wang. Vjerujemo da će daljinska atestacija postati novi trend. usvojen da smanji sigurnosni rizici web servisa, a nudimo HTTPA protokol za objedinjavanje web atestiranja i pristupa uslugama na standardan i efikasan način. «
Intel koristi daljinsku atestaciju kao osnovno sučelje za korisnike ili web servise da uspostavi povjerenje kao siguran pouzdani kanal za isporuku tajni ili povjerljivih informacija. Da bismo postigli ovaj cilj, dodajemo novi skup HTTP metoda, uključujući HTTP zahtjev/odgovor za preflight, HTTP zahtjev/odgovor za potvrdu, HTTP zahtjev/odgovor pouzdane sesije, kako bismo postigli udaljenu atestaciju koja omogućava korisnicima i web servisima da uspostave vezu direktno na tekući kod.
HTTPA je dizajniran da pruži udaljenu certifikaciju i garancije povjerljivosti računarstva između klijenta i servera prilikom korištenja weba putem interneta. Kod HTTPA pretpostavljamo da je klijent pouzdan, a server nije. Korisnik klijenta može provjeriti ove garancije kako bi odlučio da li će vjerovati serveru i pokretati računarska opterećenja na njemu. Međutim, HTTPA ne nudi garanciju da je server pouzdan. HTTPA ima dva dijela: komunikaciju i računanje.
Što se tiče sigurnosti komunikacije, HTTPA usvaja sve sigurnosne pretpostavke HTTPS-a, uključujući korištenje TLS-a i sigurne komunikacije , posebno korištenje TLS-a i verifikaciju identiteta. Što se tiče računarske sigurnosti, HTTPA protokol zahtijeva dodatni sloj udaljene atestacije kako bi se osiguralo da se IT radna opterećenja izvršavaju unutar sigurne enklave, omogućavajući klijentskom korisniku da izvršava radna opterećenja u šifriranoj memoriji.
King i Vang su rekli:
“Vjerujemo da bi HTTPA potencijalno mogao biti koristan za određene industrije, na primjer FinTech i zdravstvo. Na pitanje da li bi protokol mogao ometati usluge koje imaju stroge zahtjeve za propusnost ili kašnjenje, odgovorili su: „Bilo bi potrebno dalje istraživanje kako bi se potvrdio bilo kakav uticaj na performanse; međutim, ne očekujemo značajne promjene performansi od drugih HTTPS protokola. Nejasno je da li bi i kada HTTPA mogao biti usvojen. Na pitanje da li postoje planovi da se specifikacija dostavi kao RFC ili da se preduzme neki drugi oblik standardizacije, odgovorili su: „Imamo stalne rasprave koje Intelov pravni tim treba da pregleda pre nego što usvojimo HTTPA. «
Konačno, ako ste zainteresirani da saznate više, detalje možete pronaći na sljedećem linku.