HTTPS je v současnosti hlavním protokolem pro webové aplikace Poskytuje rychlé a bezpečné připojení s určitou úrovní důvěrnosti a integrity. HTTPS však nemůže poskytnout záruky zabezpečení na aplikačních údajích ve výpočtu, tak prostředí IT představuje rizika a zranitelná místa.
Vzhledem k tomu se dva zaměstnanci Intelu domnívají, že webové služby mohou být bezpečnější nejen prováděním výpočtů v důvěryhodných vzdálených spouštěcích prostředích, neboli TEE, ale také ověřením pro klienty, že byly provedeny.
Gordon King, softwarový inženýr a Hans Wang, výzkumník Intel Labs, navrhli protokol, aby to bylo možné. V článku s názvem: „HTTP: HTTPS Attestable Protocol “, nedávno zveřejněný na ArXiv, popisuje protokol HTTP s názvem HTTPS Attestable (HTTPA) pro zlepšení online zabezpečení prostřednictvím vzdálené certifikace.
Způsob, jakým mohou aplikace získat jistotu, že data budou zpracována důvěryhodným softwarem v bezpečných spouštěcích prostředích. Lze použít hardwarové prostředí Trusted Execution Environment (TEE), jako je Intel Software Guard Extension (Intel SGX).
Od Intel Software Guard Extension (Intel SGX) poskytuje šifrování v paměti pomáhá chránit běžící počítače a snižuje riziko úniku nebo nezákonné úpravy soukromých informací. Základní koncept SGX umožňuje, aby výpočet probíhal v uzavřeném prostoru, chráněném prostředí, které šifruje kódy a data související s výpočty citlivými na zabezpečení.
Dále SGX nabízí záruky bezpečnosti prostřednictvím vzdálené certifikace pro webového klienta, včetně identity poskytovatele a ověřovací identity.
„Zde nabízíme HTTPS atestovatelný protokol HTTP (HTTPA), který zahrnuje proces vzdálené atestace na protokolu HTTPS, který řeší otázky ochrany soukromí a zabezpečení,“ říká Intel.
„S protokolem HTTPA můžeme poskytnout záruky zabezpečení, abychom zajistili spolehlivost webových služeb a zajistili integritu zpracování požadavků pro uživatele webu,“ říkají King a Wang. Věříme, že vzdálené ověřování se stane novým trendem. bezpečnostní rizika webových služeb a nabízíme protokol HTTPA pro sjednocení webové atestace a přístupu ke službám standardním a efektivním způsobem. «
Společnost Intel používá vzdálenou atestaci jako základní rozhraní pro uživatele nebo webové služby k vytvoření důvěry jako bezpečného důvěryhodného kanálu pro doručování tajemství nebo důvěrných informací. Abychom tohoto cíle dosáhli, přidáváme novou sadu metod HTTP, včetně požadavku/odpovědi před výstupem HTTP, požadavku/odpovědi na atestaci HTTP, požadavku/odpovědi na důvěryhodnou relaci HTTP, abychom dosáhli vzdálené atestace, která umožňuje uživatelům a webovým službám navázat spojení. přímo do běžícího kódu.
HTTPA je navržen tak, aby poskytoval vzdálenou certifikaci a důvěrné počítačové záruky mezi klientem a serverem při používání webu přes internet. V případě HTTPA předpokládáme, že klient je důvěryhodný a server ne. Uživatel zákazníka může zkontrolovat tyto záruky a rozhodnout se, zda může důvěřovat a provozovat výpočetní zátěž na serveru, nebo ne. HTTPA však nenabízí žádnou záruku, že je server důvěryhodný. HTTPA má dvě části: komunikaci a výpočetní techniku.
Pokud jde o bezpečnost komunikace, HTTPA přebírá všechny předpoklady HTTPS pro zabezpečení komunikace, včetně použití TLS a zabezpečené komunikace, zejména použití TLS a ověření totožnosti osoby. Pokud jde o výpočetní bezpečnost, protokol HTTPA vyžaduje poskytnutí dodatečného stavu zajištění vzdálené atestace pro IT zátěže, které se vyskytují v zabezpečené enklávě, aby uživatel zákazníka mohl spouštět pracovní zátěže v šifrované paměti.
King a Wang řekli:
„Věříme, že HTTPA by mohlo být potenciálně přínosné pro určitá odvětví, například FinTech a zdravotnictví. Na otázku, zda by protokol mohl narušovat služby, které mají přísné požadavky na šířku pásma nebo latenci, odpověděli: „K potvrzení jakéhokoli dopadu na výkon by byl zapotřebí další průzkum; od jiných protokolů HTTPS však neočekáváme žádné výrazné změny výkonu. Pokud jde o to, zda nebo kdy by mohlo být přijato HTTPA, není jasné. Na otázku, zda existují plány předložit specifikaci jako RFC nebo provést nějakou jinou formu standardizace, odpověděli: „Probíhají diskuse, které musí být přezkoumány právním týmem Intelu, než budeme moci přijmout HTTPA. «
Nakonec, pokud máte zájem o tom vědět více, můžete si přečíst podrobnosti Na následujícím odkazu.