HTTPS saat ini merupakan protokol utama untuk aplikasi web, menyediakan koneksi yang cepat dan aman dengan tingkat kerahasiaan dan integritas tertentu. Namun, HTTPS tidak dapat menjamin keamanan data permintaan selama pemrosesan, sehingga menimbulkan risiko dan kerentanan dalam lingkungan TI.
Mengingat hal ini, dua karyawan Intel percaya bahwa layanan web dapat dibuat lebih aman tidak hanya dengan melakukan perhitungan di lingkungan eksekusi jarak jauh tepercaya, atau TEE, tetapi juga dengan memverifikasi untuk klien bahwa hal itu telah dilakukan.
Gordon King , seorang insinyur perangkat lunak, dan Hans Wang, seorang peneliti di Intel Labs, mengusulkan sebuah protokol untuk mewujudkan hal ini. Dalam sebuah makalah berjudul “ HTTPA: HTTPS Attetable Protocol,” yang baru-baru ini diterbitkan di arXiv, mereka menjelaskan protokol HTTP yang disebut HTTPS Attetable (HTTPA) untuk meningkatkan keamanan daring melalui sertifikasi jarak jauh.
Cara aplikasi mendapatkan jaminan bahwa data akan diproses oleh perangkat lunak tepercaya dalam lingkungan eksekusi yang aman. Trusted Execution Environment (TEE) berbasis perangkat keras dapat digunakan, seperti Intel Software Guard Extension (Intel SGX).
Intel Software Guard Extension (Intel SGX) menyediakan enkripsi dalam memori untuk membantu melindungi komputasi yang sedang berjalan dan mengurangi risiko kebocoran atau modifikasi informasi pribadi yang tidak sah. Konsep inti SGX memungkinkan komputasi berlangsung di dalam lingkungan yang aman, yaitu lingkungan terlindungi yang mengenkripsi kode dan data yang terkait dengan komputasi yang sensitif terhadap keamanan.
Selain itu, SGX menawarkan jaminan keamanan melalui sertifikasi jarak jauh untuk klien web, termasuk identitas penyedia dan identitas verifikasi.
"Di sini kami menawarkan HTTPS attestable HTTP protocol (HTTPA), yang mencakup proses pengesahan jarak jauh pada protokol HTTPS untuk mengatasi masalah privasi dan keamanan," kata Intel.
"Dengan HTTPA, kami dapat memberikan jaminan keamanan untuk membangun keandalan layanan web dan memastikan integritas pemrosesan permintaan untuk pengguna web," kata King dan Wang. Kami percaya bahwa pengesahan jarak jauh akan menjadi tren baru. diadopsi untuk mengurangi risiko keamanan layanan web, dan kami menawarkan protokol HTTPA untuk menyatukan pengesahan web dan akses ke layanan dengan cara yang standar dan efisien. «
Intel menggunakan pengesahan jarak jauh sebagai antarmuka dasar bagi pengguna atau layanan web untuk membangun kepercayaan sebagai saluran tepercaya yang aman untuk menyampaikan rahasia atau informasi rahasia. Untuk mencapai tujuan ini, kami menambahkan serangkaian metode HTTP baru, termasuk permintaan / respons HTTP preflight, permintaan / respons pengesahan HTTP, permintaan / respons sesi tepercaya HTTP, untuk mencapai pengesahan jarak jauh yang memungkinkan pengguna ke dan ke layanan web membuat koneksi langsung ke kode yang sedang berjalan.
HTTPA dirancang untuk menyediakan sertifikasi jarak jauh dan jaminan komputasi rahasia antara klien dan server saat menggunakan web melalui internet. Dengan HTTPA, kita berasumsi bahwa klien dapat dipercaya dan server tidak. Pengguna klien dapat memeriksa jaminan ini untuk memutuskan apakah akan mempercayai dan menjalankan beban kerja komputasi pada server. Namun, HTTPA tidak memberikan jaminan bahwa server tersebut dapat dipercaya. HTTPA memiliki dua bagian: komunikasi dan komputasi.
Terkait keamanan komunikasi, HTTPA mengadopsi semua asumsi keamanan HTTPS, termasuk penggunaan TLS dan komunikasi yang aman , khususnya penggunaan TLS dan verifikasi identitas. Sedangkan untuk keamanan komputasi, protokol HTTPA memerlukan lapisan tambahan berupa pengesahan jarak jauh untuk memastikan bahwa beban kerja TI dijalankan di dalam lingkungan yang aman, memungkinkan pengguna klien untuk menjalankan beban kerja di memori terenkripsi.
Raja dan Wang berkata:
“Kami percaya bahwa HTTPA berpotensi bermanfaat bagi industri tertentu, misalnya FinTech dan perawatan kesehatan. Ketika ditanya apakah protokol dapat mengganggu layanan yang memiliki bandwidth atau persyaratan latensi yang ketat, mereka menjawab: “Eksplorasi lebih lanjut akan diperlukan untuk mengonfirmasi dampak kinerja apa pun; namun, kami tidak mengharapkan perubahan kinerja yang signifikan dari protokol HTTPS lainnya. Mengenai apakah atau kapan HTTPA dapat diadopsi, tidak jelas. Ketika ditanya apakah ada rencana untuk mengirimkan spesifikasi sebagai RFC atau untuk melakukan beberapa bentuk standarisasi lainnya, mereka menjawab: “Kami memiliki diskusi berkelanjutan yang perlu ditinjau oleh tim hukum Intel sebelum kami dapat mengadopsi HTTPA. «
Terakhir, jika Anda tertarik untuk mempelajari lebih lanjut, Anda dapat menemukan detailnya di tautan berikut.