HTTP/3.0 menerima status standard yang dicadangkan

Комитет IETF (Internet Engineering Task Force), занимающийся развитием протоколов и архитектуры интернета, завершил формирование RFC для протокола HTTP/3.0 и опубликовал связанные с ним спецификации под идентификаторами RFC 9114 (протокол) и RFC 9204 (технология сжатие заголовков QPACK для HTTP/3). Спецификация HTTP/3.0 получила статус «Предложенного стандарта», после чего начнётся работа по приданию RFC статуса чернового стандарта (Draft Standard), фактически означающего полную стабилизацию протокола и учёт всех высказанных замечаний. Одновременно опубликованы обновлённые варианты спецификаций для протоколов HTTP/1.1 (RFC 9112) и HTTP/2.0 (RFC 9113), а также документы, определяющие семантику HTTP-запросов (RFC 9110) и HTTP-заголовки управления кэшированием (RFC 9111).

Протокол HTTP/3 определяет использование протокола QUIC (Quick UDP Internet Connections) в качестве транспорта для HTTP/2. QUIC представляет собой надстройку над протоколом UDP, поддерживающую мультиплексирование нескольких соединений и обеспечивающую методы шифрования, эквивалентные TLS/SSL. Протокол был создан в 2013 году компанией Google в качестве альтернативы связке TCP+TLS для Web, решающей проблемы с большим временем установки и согласования соединений в TCP и устраняющей задержки при потере пакетов в процессе передачи данных.

В настоящее время поддержка QUIC и HTTP/3.0 уже реализована во всех популярных web-браузерах (в Chrome, Firefox и Edge поддержка HTTP/3 включена по умолчанию, а в Safari требует включения настройки «Advanced > Experimental Features > HTTP/3»). На серверной стороне реализации HTTP/3 доступны для nginx (в отдельной ветке и в форме отдельного модуля), Caddy, IIS и LiteSpeed. Поддержку HTTP/3 также обеспечивает сеть доставки контента Cloudflare.

Ciri utama QUIC:

• Keselamatan tinggi, serupa dengan TLS (sebenarnya, QUIC menyediakan keupayaan untuk menggunakan TLS melalui UDP);
• Kawalan integriti aliran untuk mengelakkan kehilangan paket;
• Keupayaan untuk mewujudkan sambungan serta-merta (0-RTT, dalam kira-kira 75% daripada kes, data boleh dihantar serta-merta selepas menghantar paket persediaan sambungan) dan memberikan kelewatan minimum antara menghantar permintaan dan menerima respons (RTT, Masa Pergi Balik);
• Menggunakan nombor urutan yang berbeza apabila menghantar semula paket, yang mengelakkan kekaburan dalam mengenal pasti paket yang diterima dan menyingkirkan tamat masa;
• Kehilangan paket hanya menjejaskan penghantaran aliran yang berkaitan dengannya dan tidak menghentikan penghantaran data dalam aliran yang dihantar selari melalui sambungan semasa;
• Alat pembetulan ralat yang meminimumkan kelewatan akibat penghantaran semula paket yang hilang. Penggunaan kod pembetulan ralat khas pada peringkat paket untuk mengurangkan situasi yang memerlukan penghantaran semula data paket yang hilang.
• Sempadan blok kriptografi diselaraskan dengan sempadan paket QUIC, yang mengurangkan kesan kehilangan paket pada penyahkodan kandungan paket berikutnya;
• Tiada masalah dengan menyekat baris gilir TCP;
• Sokongan ID Sambungan untuk mengurangkan masa penyambungan semula untuk pelanggan mudah alih;
• Kemungkinan untuk menyambungkan mekanisme lanjutan untuk kawalan beban lampau sambungan;
• Menggunakan teknik ramalan jalur lebar dalam setiap arah untuk memastikan keamatan optimum penghantaran paket, menghalang rolling ke dalam keadaan kesesakan, di mana terdapat kehilangan paket;
• Peningkatan ketara dalam prestasi dan daya pengeluaran berbanding TCP. Untuk perkhidmatan video seperti YouTube, QUIC telah ditunjukkan dapat mengurangkan operasi penimbalan semula apabila menonton video sebanyak 30%.

Из изменений в спецификации HTTP/1.1 можно отметить запрет на обособленное использование символа возврата каретки (CR) вне тела с содержимым, т.е. в элементах протокола символ CR может применяться только вместе с символом перевода строки (CRLF). Алгоритм компоновки chunked-запросов доработан для упрощения разделения прикреплённых полей и секции с заголовками. Добавлены рекомендации по обработке неоднозначного содержимого для блокирования атак класса «HTTP Request Smuggling», позволяющих вклиниваться в содержимое запросов других пользователей в потоке между фронтэндом и бэкендом.

В обновлении спецификации HTTP/2.0 явно определена поддержка TLS 1.3. Переведена в категорию устаревших схема определения приоритетов и связанные с ней поля в заголовках. Объявлен устаревшим не получивший распространения механизм обновления соединения с HTTP/1.1. Сокращены требования к проверке имён полей и значений. Предложены для использования некоторые ранее зарезервированные типы кадров и параметры. Более точно определены запрещённые поля заголовков, относящиеся к соединению.

Sumber: opennet.ru