HTTPS şu anda web uygulamaları için ana protokoldür Belirli bir düzeyde gizlilik ve bütünlük ile hızlı ve güvenli bir bağlantı sağlar. Ancak, HTTPS güvenlik garantileri sağlayamaz hesaplamadaki uygulama verilerinde, yani BT ortamı riskler ve güvenlik açıkları sunar.
Bu göz önüne alındığında, iki Intel çalışanı, web hizmetlerinin yalnızca güvenilir uzaktan yürütme ortamlarında veya TEE'de hesaplamalar yaparak değil, aynı zamanda istemciler için yapıldığını doğrulayarak da daha güvenli hale getirilebileceğine inanıyor.
Gordon King, yazılım mühendisi ve Hans Wang, Intel Laboratuvarları araştırmacısı, Bunu mümkün kılmak için bir protokol önerdiler. başlıklı bir yazıda: "http: Yakın zamanda ArXiv'de yayınlanan HTTPS Onaylanabilir Protokolü ”, uzaktan sertifika aracılığıyla çevrimiçi güvenliği artırmak için HTTPS Onaylanabilir (HTTPA) adlı bir HTTP protokolünü açıklar.
Uygulamaların, verilerin güvenli yürütme ortamlarında güvenilir yazılımlar tarafından işleneceğine dair güvence elde etmesinin bir yolu. Intel Yazılım Koruma Uzantısı (Intel SGX) gibi donanım tabanlı bir Güvenilir Yürütme Ortamı (TEE) kullanılabilir.
Intel Yazılım Koruma Uzantısından beri (Intel SGX) bellek içi şifreleme sağlar özel bilgilerin sızması veya yasa dışı olarak değiştirilmesi riskini azaltmak için çalışan bilgisayarların korunmasına yardımcı olmak için. SGX'in temel konsepti, hesaplamanın, güvenlik açısından hassas bir hesaplamayla ilgili kodları ve verileri şifreleyen korumalı bir ortam olan muhafaza içinde gerçekleşmesine olanak tanır.
Ayrıca, SGX'in uzaktan sertifikalandırma yoluyla güvenlik garantileri sunar sağlayıcının kimliği ve doğrulama kimliği de dahil olmak üzere web istemcisi için.
Intel, "Burada, gizlilik ve güvenlik endişelerini gidermek için HTTPS protokolünde uzaktan doğrulama sürecini içeren bir HTTPS Onaylanabilir HTTP Protokolü (HTTPA) sunuyoruz" diyor.
King ve Wang, "HTTPA ile web hizmetlerinin güvenilirliğini sağlamak ve web kullanıcıları için isteklerin işlenmesinin bütünlüğünü sağlamak için güvenlik garantileri sağlayabiliriz" diyor. Uzaktan doğrulamanın yeni bir trend olacağına inanıyoruz. web hizmetlerinin güvenlik riskleri ve web doğrulamasını ve hizmetlere erişimi standart ve verimli bir şekilde birleştirmek için HTTPA protokolünü sunuyoruz. «
Intel, sırları veya gizli bilgileri iletmek için güvenli bir güvenilir kanal olarak güven oluşturmak için kullanıcılar veya web hizmetleri için temel arabirim olarak uzaktan onay kullanır. Bu amaca ulaşmak için, HTTP ön kontrol isteği/yanıtı, HTTP doğrulama isteği/yanıtı, HTTP güvenilir oturum isteği/yanıtı dahil olmak üzere yeni bir dizi HTTP yöntemi ekliyoruz. doğrudan çalışan koda.
HTTPA, uzaktan sertifika sağlamak için tasarlanmıştır ve İnternet üzerinden web'i kullanırken bir istemci ve bir sunucu arasındaki gizli bilgisayar garantileri. HTTPA durumunda, istemcinin güvenilir olduğunu ve sunucunun olmadığını varsayıyoruz. Müşteri kullanıcısı, sunucudaki bilgi işlem iş yüklerine güvenip güvenemeyeceklerine karar vermek için bu garantileri kontrol edebilir. Ancak HTTPA, sunucunun güvenilir olduğuna dair herhangi bir garanti vermez. HTTPA'nın iki bölümü vardır: iletişim ve bilgi işlem.
İletişim güvenliği ile ilgili olarak, HTTPA, TLS kullanımı ve güvenli iletişim dahil olmak üzere iletişim güvenliği için HTTPS'nin tüm varsayımlarını alır, özellikle TLS kullanımı ve kişinin kimliğinin doğrulanması. Hesaplamalı güvenlikle ilgili olarak, HTTPA protokolü, müşteri kullanıcısının iş yüklerini şifreli bellekte çalıştırabilmesi için güvenli yerleşim bölgesi içinde BT iş yüklerinin gerçekleşmesi için ek bir uzaktan onay durumu güvencesi sağlamayı gerektirir.
King ve Wang şunları söyledi:
"HTTPA'nın FinTech ve sağlık gibi belirli endüstriler için potansiyel olarak faydalı olabileceğine inanıyoruz. Protokolün sıkı bant genişliği veya gecikme gereksinimleri olan hizmetlere müdahale edip edemeyeceği sorulduğunda, şu yanıtı verdiler: “Herhangi bir performans etkisini doğrulamak için daha fazla araştırmaya ihtiyaç duyulacaktır; ancak diğer HTTPS protokollerinden önemli bir performans değişikliği beklemiyoruz. HTTPA'nın benimsenip benimsenemeyeceği veya ne zaman benimsenebileceği belirsizdir. Spesifikasyonu bir RFC olarak gönderme veya başka bir standardizasyon biçimi üstlenme planları olup olmadığı sorulduğunda, şu yanıtı verdiler: “HTTPA'yı benimsemeden önce Intel'in hukuk ekibi tarafından gözden geçirilmesi gereken devam eden tartışmalarımız var. «
Son olarak, daha fazla bilgi edinmek istiyorsanız, ayrıntılara başvurabilirsiniz. Aşağıdaki bağlantıda.