I ricercatori Intel descrivono come i Trusted Execution Environments possono migliorare HTTPS e aumentare la sicurezza Web.
Sebbene HTTPS stia diventando il protocollo online predefinito per fornire una connessione veloce e sicura per siti Web e applicazioni, c’è ancora spazio per miglioramenti. Il protocollo HTTPA ha lo scopo di migliorare la sicurezza online eseguendo codice in ambienti di esecuzione attendibili (TEE).
L’ingegnere del software Intel Gordon King e il ricercatore di Intel Labs Hans Wang hanno delineato il protocollo proposto – HTTPS-Attestable (HTTPA) – in un documento distribuito questo mese tramite ArXiv .
HTTPA migliora la sicurezza online con l’attestazione remota, un modo per le applicazioni di ottenere la garanzia che i dati vengano gestiti da software affidabili in ambienti di esecuzione sicuri. Le applicazioni utilizzano certificati o metodi crittografici per verificare che il codice in esecuzione in un TEE lato server sia il codice previsto e che non sia stato modificato da un processo, uno strumento o un amministratore non autorizzato.
Sia Intel che ARM offrono TEE basati su hardware: Intel Software Guard Extension (Intel SGX) e TrustZone. Wang e King scrivono nel documento che SGX fornisce la crittografia in memoria per aiutare a proteggere il calcolo del runtime e ridurre i rischi di perdita illegale o modifica di informazioni private.
“SGX fornisce anche garanzie di sicurezza tramite attestazione remota al client Web, inclusa l’identità TCB, l’identità del fornitore e l’identità di verifica”, afferma il documento.
L’idea alla base di HTTPA è che i servizi Web possono essere più sicuri eseguendo calcoli in TEE remoti e offrendo ai client un modo per verificare che ciò sia stato fatto. Al momento, non c’è modo per il client Web di verificare che il server non sia stato dirottato e che i suoi dati non siano stati modificati in modo dannoso, affermano i ricercatori.
“Con HTTPA, possiamo fornire garanzie di sicurezza per stabilire l’affidabilità con i servizi Web e garantire l’integrità della gestione delle richieste per gli utenti Web”, affermano Wang e King nel documento.
HTTPA fornisce ai servizi Web un modo per confermare che il carico di lavoro di un client verrà eseguito all’interno dell’enclave utilizzando il codice protetto. HTTPA non dice nulla sull’integrità del server, solo sull’applicazione. Il protocollo richiederebbe l’estensione dell’handshake HTTPS – la connessione di rete iniziale tra client e server per verificarsi a vicenda prima di inviare i dati – per includere l’attestazione. Il protocollo richiede richiesta e risposta di verifica preliminare HTTP, richiesta e risposta di attestazione HTTP e richiesta e risposta di sessione attendibile HTTP.