提出的HTTPA协议利用TEE来保护网络安全

英特尔研究人员描述了可信执行环境如何增强HTTPS并提升Web安全性。
提出的HTTPA协议利用TEE来保护网络安全

提出的HTTPA协议利用TEE来保护网络安全

Intel的软件工程师Gordon King和Intel Labs的研究科学家Hans Wang在本月通过ArXiv发布了一篇论文,介绍了一种提议的协议——HTTPS Attestable(HTTPA)。

HTTPA利用远程认证来增强网络安全,这是一种让应用程序获得保证的方法,即数据是由可信软件在安全执行环境中处理的。应用程序使用证书或加密方法来验证在服务器端TEE中运行的代码是否是预期的代码,以及是否没有被恶意的进程、工具或管理员修改。

TEE指的是内存中的一些隔离区域,可以在其中对敏感的数据和细节进行敏感的计算。Intel和ARM都提供了基于硬件的TEE:Intel Software Guard Extension(Intel SGX)和TrustZone。Wang和King在论文中指出,SGX提供了内存加密来帮助保护运行时计算,并减少私有信息被非法泄露或修改的风险。

“SGX还通过远程认证向网络客户端提供安全保证,包括TCB身份、供应商身份和验证身份,”论文说。

HTTPA协议的想法是,通过在远程TEE中进行计算,并给客户端一种验证这是否完成的方法,网络服务可以更加安全。目前,没有办法让网络客户端验证服务器是否被劫持,以及其数据是否被恶意修改,研究人员说。

“通过HTTPA,我们可以提供安全保证,建立与网络服务的可信度,并确保网络用户请求处理的完整性,”Wang和King在论文中说。

HTTPA为网络服务提供了一种方法,可以确认客户端的工作负载将在使用受保护代码的enclave内运行。HTTPA并没有对服务器的完整性做出任何声明,只是对应用程序做出声明。该协议需要扩展HTTPS握手——客户端和服务器之间在发送数据之前进行相互验证的初始网络连接——以包含认证。该协议要求HTTP预检请求和响应、HTTP认证请求和响应以及HTTP可信会话请求和响应。

“我们提出了一种通用的解决方案,用于对HTTPS进行标准化认证,并建立多个可信连接,以保护和管理为选定的HTTP域请求的数据,”King和Wang在论文中说。“此外,我们的解决方案利用了当前的HTTPS协议,因此它没有引入像其他方法那样复杂。”

更多信息请点击这里

推荐阅读:

智能警惕:用Threat Intel的CoPilot AI赋能安全

黑客通过帮助台目标高特权的Okta账户

  • 点赞
  • 打赏
请选择打赏方式
  • ERC-20
  • TRC-20