HTTPSは現在、Webアプリケーションの主要なプロトコルであり、一定レベルの機密性と完全性を備えた高速かつ安全な接続を提供します。しかし、HTTPSは処理中のリクエストデータのセキュリティを保証することはできないため、IT環境においてリスクと脆弱性が生じる可能性があります。
これを考えると、XNUMX人のインテルの従業員は、信頼できるリモート実行環境（TEE）で計算を実行するだけでなく、それが実行されたことをクライアントに確認することによって、Webサービスをより安全にできると考えています。
ソフトウェアエンジニアのゴードン・キング氏とインテルラボの研究員であるハンス・ワン氏は、これを可能にするプロトコルを提案した。最近arXivに掲載された「 HTTPA: HTTPS Attetable Protocol」というタイトルの論文の中で、彼らはリモート認証によってオンラインセキュリティを向上させるHTTPS Attetable（HTTPA）と呼ばれるHTTPプロトコルについて説明している。
安全な実行環境で信頼できるソフトウェアによってデータが処理されることをアプリケーションが保証する方法。 Intel Software Guard Extension（Intel SGX）などのハードウェアベースの信頼できる実行環境（TEE）を使用できます。
Intel Software Guard Extension (Intel SGX) は、メモリ内暗号化を提供することで、実行中の計算を保護し、個人情報の漏洩や不正な改ざんのリスクを軽減します。SGX の基本的な概念は、セキュリティ上重要な計算に関連するコードとデータを暗号化する保護された環境であるセキュアエンクロージャ内で計算を実行できるようにすることです。
さらに、SGXは、プロバイダーの身元情報と検証用身元情報を含む、ウェブクライアント向けのリモート認証を通じてセキュリティ保証を提供します。
「ここでは、HTTPS Attestable HTTP Protocol（HTTPA）を提供しています。これには、プライバシーとセキュリティの懸念に対処するためのHTTPSプロトコルのリモート認証プロセスが含まれています」とIntelは述べています。
「HTTPAを使用すると、セキュリティ保証を提供してWebサービスの信頼性を確立し、Webユーザーの要求の処理の整合性を確保できます」とKingとWangは述べています。リモート認証は新しいトレンドになると考えています。 Webサービスのセキュリティリスク。HTTPAプロトコルを提供して、Web認証とサービスへのアクセスを標準的かつ効率的な方法で統合します。 «
インテルは、ユーザーまたはWebサービスの基本インターフェースとしてリモート認証を使用して、秘密または機密情報を配信するための安全な信頼できるチャネルとしての信頼を確立します。 この目標を達成するために、HTTPプリフライトリクエスト/レスポンス、HTTPアテステーションリクエスト/レスポンス、HTTPトラステッドセッションリクエスト/レスポンスを含む新しいHTTPメソッドのセットを追加して、ユーザーとWebサービスが接続を確立できるリモートアテステーションを実現します。実行中のコードに直接。
HTTPAは、インターネット上でWebを使用する際に、クライアントとサーバー間でリモート認証と機密コンピューティングの保証を提供するように設計されています。HTTPAでは、クライアントは信頼できるがサーバーは信頼できないという前提に基づいています。クライアントユーザーはこれらの保証を確認することで、サーバーを信頼してコンピューティングワークロードを実行するかどうかを判断できます。ただし、HTTPAはサーバーが信頼できることを保証するものではありません。HTTPAは、通信と計算の2つの部分から構成されています。
通信セキュリティに関して、HTTPAはHTTPSのセキュリティに関するすべての前提条件を採用しており、TLSの使用や安全な通信、特にTLSと本人確認の使用などが含まれます。計算セキュリティに関しては、HTTPAプロトコルは、ITワークロードがセキュアエンクレーブ内で実行されることを保証するために、リモート認証の追加レイヤーを必要とします。これにより、クライアントユーザーは暗号化されたメモリ内でワークロードを実行できます。
キングとワンは言った：
「HTTPAは、FinTechやヘルスケアなどの特定の業界にとって潜在的に有益である可能性があると考えています。 プロトコルが厳しい帯域幅または遅延要件を持つサービスに干渉する可能性があるかどうかを尋ねられたとき、彼らは次のように答えました。 ただし、他のHTTPSプロトコルによるパフォーマンスの大幅な変更は予想されていません。 HTTPAを採用できるかどうか、いつ採用できるかは不明です。 仕様をRFCとして提出する計画があるのか、それとも他の形式の標準化を行う計画があるのかと尋ねられたとき、彼らは次のように答えました。 «
最後に、さらに詳しく知りたい場合は、以下のリンクから詳細をご確認いただけます。