इंटेल HTTPS को पूरक करने के लिए HTTPA प्रोटोकॉल विकसित कर रहा है

इंटेल के इंजीनियरों ने एक नया HTTPA प्रोटोकॉल (HTTPS अटेस्टेबल) प्रस्तावित किया है, जो निष्पादित गणनाओं की सुरक्षा की अतिरिक्त गारंटी के साथ HTTPS का विस्तार करता है। HTTPA आपको सर्वर पर उपयोगकर्ता अनुरोध को संसाधित करने की अखंडता की गारंटी देने और यह सुनिश्चित करने की अनुमति देता है कि वेब सेवा भरोसेमंद है और सर्वर पर टीईई वातावरण (विश्वसनीय निष्पादन पर्यावरण) में चल रहा कोड हैकिंग के परिणामस्वरूप नहीं बदला गया है या व्यवस्थापक द्वारा तोड़फोड़.

HTTPS नेटवर्क पर ट्रांसमिशन के दौरान प्रसारित डेटा की सुरक्षा करता है, लेकिन सर्वर पर हमलों के परिणामस्वरूप इसकी अखंडता का उल्लंघन होने से नहीं रोक सकता है। इंटेल एसजीएक्स (सॉफ्टवेयर गार्ड एक्सटेंशन), ​​एआरएम ट्रस्टजोन और एएमडी पीएसपी (प्लेटफॉर्म सिक्योरिटी प्रोसेसर) जैसी प्रौद्योगिकियों का उपयोग करके बनाए गए पृथक एन्क्लेव, संवेदनशील कंप्यूटिंग की सुरक्षा करना और अंत नोड पर संवेदनशील जानकारी के रिसाव या संशोधन के जोखिम को कम करना संभव बनाते हैं।

प्रेषित जानकारी की विश्वसनीयता की गारंटी के लिए, HTTPA आपको Intel SGX में दिए गए सत्यापन टूल का उपयोग करने की अनुमति देता है, जो उस एन्क्लेव की प्रामाणिकता की पुष्टि करता है जिसमें गणना की गई थी। अनिवार्य रूप से, HTTPA एक एन्क्लेव को दूरस्थ रूप से सत्यापित करने की क्षमता के साथ HTTPS का विस्तार करता है और आपको यह सत्यापित करने की अनुमति देता है कि यह वास्तविक Intel SGX वातावरण में चल रहा है और वेब सेवा पर भरोसा किया जा सकता है। प्रोटोकॉल को शुरू में एक सार्वभौमिक प्रोटोकॉल के रूप में विकसित किया जा रहा है और इंटेल एसजीएक्स के अलावा, इसे अन्य टीईई सिस्टम के लिए भी लागू किया जा सकता है।

HTTPS के लिए एक सुरक्षित कनेक्शन स्थापित करने की सामान्य प्रक्रिया के अलावा, HTTPA को एक भरोसेमंद सत्र कुंजी की बातचीत की भी आवश्यकता होती है। प्रोटोकॉल एक नई HTTP विधि "ATTEST" पेश करता है, जो आपको तीन प्रकार के अनुरोधों और प्रतिक्रियाओं को संसाधित करने की अनुमति देता है:

• यह जांचने के लिए "प्रीफ्लाइट" कि रिमोट साइड एन्क्लेव सत्यापन का समर्थन करता है या नहीं;
• सत्यापन मापदंडों पर सहमति के लिए "प्रमाणीकरण" (एक क्रिप्टोग्राफ़िक एल्गोरिदम का चयन करना, सत्र के लिए अद्वितीय यादृच्छिक अनुक्रमों का आदान-प्रदान करना, एक सत्र पहचानकर्ता उत्पन्न करना और क्लाइंट को एन्क्लेव की सार्वजनिक कुंजी स्थानांतरित करना);
• "विश्वसनीय सत्र" - विश्वसनीय सूचना विनिमय के लिए एक सत्र कुंजी का निर्माण। सत्र कुंजी सर्वर से प्राप्त टीईई सार्वजनिक कुंजी का उपयोग करके क्लाइंट द्वारा उत्पन्न पूर्व-सत्र रहस्य और प्रत्येक पार्टी द्वारा उत्पन्न यादृच्छिक अनुक्रमों के आधार पर बनाई जाती है।

HTTPA का अर्थ है कि क्लाइंट भरोसेमंद है और सर्वर भरोसेमंद नहीं है, यानी। ग्राहक इस प्रोटोकॉल का उपयोग टीईई वातावरण में गणनाओं को सत्यापित करने के लिए कर सकता है। साथ ही, HTTPA यह गारंटी नहीं देता है कि वेब सर्वर के संचालन के दौरान की गई अन्य गणनाएं जो टीईई में नहीं की जाती हैं, उनसे समझौता नहीं किया गया है, जिसके लिए वेब सेवाओं के विकास के लिए एक अलग दृष्टिकोण के उपयोग की आवश्यकता होती है। इस प्रकार, HTTPA का उद्देश्य मुख्य रूप से उन विशेष सेवाओं के साथ उपयोग करना है, जिनमें वित्तीय और चिकित्सा प्रणालियों जैसी सूचना अखंडता की आवश्यकताएं बढ़ गई हैं।

उन स्थितियों के लिए जहां सर्वर और क्लाइंट दोनों के लिए टीईई में गणना की पुष्टि की जानी चाहिए, एमएचटीटीपीए (म्यूचुअल HTTPA) प्रोटोकॉल का एक संस्करण प्रदान किया जाता है, जो दो-तरफा सत्यापन करता है। सर्वर और क्लाइंट के लिए सत्र कुंजियों की दो-तरफा पीढ़ी की आवश्यकता के कारण यह विकल्प अधिक जटिल है।

स्रोत: opennet.ru