搜索

[15652] 2020-07-26_HTTP3协议的安全优势与挑战

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-07-26_HTTP3协议的安全优势与挑战 H T T P / 3 协 议 的 安 全 优 势 与 挑 战 S a n d r a 1 4 3 2   F r e e B u f   2 0 2 0 - 0 7 - 2 6 H T T P / 3 是 超 文 本 传 输 协 议 （ H T T P ） 的 第 三 个 正 式 版 本 ， 将 改 善 网 络 性 能 和 稳 定 性 ， 解 决 各 种 安 全 隐 私 问 题 ， 但 尽 管 如 此 ， 仍 存 在 一 些 安 全 挑 战 。 H T T P / 3 不 再 使 用 传 输 控 制 协 议 （ T C P ） ， 相 反 ， 将 使 用 2 0 1 2 年 谷 歌 提 出 的 Q U I C 传 输 协 议 。 实 际 上 ， H T T P / 3 前 身 是 H T T P - o v e r - Q U I C 。 2 0 1 8 年 1 0 月 ， 互 联 网 工 程 任 务 组 （ I E T F ）   H T T P 和 Q U I C 工 作 组 主 席 M a r k   N o t t i n g h a m 提 出 了 将 H T T P - o v e r - Q U I C 更 名 为 H T T P / 3 Q U I C 是 基 于 用 户 数 据 包 协 议 （ U D P ） 连 接 的 复 用 版 本 的 传 输 层 协 议 。 与 T C P 不 同 ， U D P 不 遵 循 T C P 三 向 交 握 ， 而 是 使 用 单 个 U D P 往 返 。 因 此 ， 在 用 户 代 理 和 W e b 服 务 器 之 间 的 每 个 连 接 都 使 用 U D P ， Q U I C 协 议 极 大 地 改 善 了 任 何 w e b 组 件 的 网 络 性 能 。 同 样 ， Q U I C 依 靠 多 路 复 用 来 在 单 个 连 接 上 无 缝 地 管 理 用 户 代 理 与 服 务 器 之 间 的 多 个 交 互 ， 而 没 有 一 个 阻 塞 另 一 个 ， 因 此 与 以 前 的 版 本 相 比 ， 有 助 于 提 高 性 能 。 从 性 能 和 稳 定 性 的 角 度 考 虑 ， H T T P / 3 似 乎 都 有 很 大 的 优 势 。 从 安 全 性 来 说 ， H T T P / 3 有 其 先 进 性 也 有 其 局 限 性 。 安 全 优 势 安 全 优 势 1 . 端 到 端 加 密 端 到 端 加 密 T C P 协 议 旨 在 确 保 在 传 输 过 程 中 进 行 有 效 负 载 加 密 ， 但 是 对 于 特 定 传 输 的 信 息 仍 未 加 密 ， 所 以 这 会 引 发 许 多 安 全 和 隐 私 问 题 。 预 防 攻 击 的 对 策 不 是 在 T C P 堆 栈 上 ， 而 是 在 处 理 协 议 和 网 络 的 网 络 设 备 和 中 间 盒 上 。 此 外 ， 解 析 器 可 以 克 服 负 载 均 衡 器 和 其 他 网 络 设 备 中 的 这 些 问 题 ， 但 它 们 也 还 存 在 严 重 的 性 能 问 题 ， 并 且 可 能 会 限 制 网 络 发 展 速 度 和 可 靠 性 。 使 用 Q U I C 协 议 时 ， 只 有 网 段 中 的 必 填 字 段 未 加 密 ， 而 其 余 信 息 默 认 情 况 下 是 加 密 的 。 通 过 查 看 T C P 和 Q U I C 的 网 络
段 ， 我 们 发 现 包 括 数 据 包 标 志 （ 数 据 包 N R 和 A C K   N R ） ， 窗 口 和 选 项 的 字 段 在 Q U I C 中 已 加 密 ， 但 在 T C P 中 未 加 密 。 Q U I C 中 建 议 加 密 有 助 于 防 止 普 遍 存 在 的 监 视 攻 击 （ 在 H T T P   /   3 的 前 身 中 很 普 遍 ） 以 及 协 议 工 件 和 元 数 据 、 应 用 程 序 数 据 的 侵 入 式 信 息 收 集 。 下 面 的 图 1 显 示 了 Q U I C 协 议 在 网 络 分 析 器 工 具 W i r e s h a r k 中 的 呈 现 方 式 。 根 据 Q U I C 的 网 段 ， 互 联 网 协 议 （ I P ） 层 保 存 源 I P 地 址 和 目 标 I P 地 址 信 息 。 U D P 保 留 源 端 口 和 目 标 端 口 ， 而 Q U I C 包 含 公 共 标 志 ， 数 据 包 编 号 ， 连 接 I D 和 加 密 的 有 效 负 载 。 图 1   W i r e s h a r k 代 码 段 显 示 Q U I C 协 议 的 网 段 2 . T L S 安 全 连 接 安 全 连 接 为 了 在 连 接 期 间 支 持 端 到 端 加 密 ， Q U I C 主 要 依 赖 于 加 密 和 传 输 层 握 手 。 由 于 Q U I C 直 接 与 T L S   1 . 3   交 互 ， 因 此 它 可 用 于 所 有 原 始 连 接 的 授 权 加 密 ， 并 且 没 有 禁 用 T L S 。 Q U I C 还 负 责 确 保 建 立 安 全 连 接 ， 同 时 考 虑 到 所 有 原 始 连 接 的 机 密 性 和 完 整 性 保 护 。 与 H T T P   /   2   +   T L S 实 现 不 同 ， Q U I C 在 其 传 输 上 下 文 中 处 理 T L S 握 手 和 警 报 机 制 ， 这 反 过 来 又 帮 助 Q U I C 利 用 从 握 手 交 换 的 密 钥 来 建 立 密 码 保 护 。 如 果 我 们 从 整 体 上 考 虑 该 协 议 ， 则 T L S 和 Q U I C 之 间 存 在 两 个 主 要 通 信 ： Q U I C 为 T L S 提 供 了 稳 定 的 流 抽 象 ， 通 过 Q U I C 发 送 和 接 收 消 息 。 T L S 使 用 以 下 内 容 更 新 Q U I C 组 件 。 1 . 秘 密 的 、 经 过 身 份 验 证 的 加 密 算 法 和 密 钥 派 生 功 能 （ K D F ） 2 . 数 据 包 保 护 密 钥 3 . 协 议 状 态 更 改 （ 例 如 握 手 状 态 、 服 务 器 证 书 ） 与 使 用 T L S 的 “   a p p l i c a t i o n _ d a t a ” 记 录 的 H T T P / 2 不 同 ， Q U I C 使 用 S T R E A M 帧 ， 通 过 Q U I C 数 据 包 形 式 展 现 。 T L S 握 手 以 C R Y P T O 帧 的 形 式 形 成 ， 主 要 由 连 续 流 中 的 握 手 数 据 组 成 。 Q U I C 旨 在 并 行 发 送 数 据 包 ， 有 时 会 将 不 同 的 消 息 捆 绑 成 一 个 消 息 并 加 密 ， 因 为 这 些 消 息 具 有 相 同 的 加 密 级 别 。 此 功 能 为 网 络 性 能 提 供 了 极 大 的 优 势 ， 同 时 确 保 在 传 输 过 程 中 应 用 正 确 的 加 密 模 式 。 3 . 完 全 正 向 保 密 性 完 全 正 向 保 密 性 当 在 用 户 代 理 和 服 务 器 之 间 交 换 临 时 私 钥 时 ， 可 以 实 现 协 议 中 的 完 全 前 向 保 密 性 （ P F S ） 。 用 户 代 理 启 动 的 每 个 会 话
都 使 用 新 的 唯 一 会 话 密 钥 ， 并 且 它 与 先 前 的 会 话 密 钥 没 有 任 何 关 系 。 通 过 为 每 次 传 输 使 用 单 独 的 会 话 密 钥 ， 即 使 任 何 会 话 密 钥 被 泄 露 ， 来 自 较 早 或 将 来 会 话 的 任 何 信 息 也 不 会 受 到 破 坏 。 从 加 密 角 度 来 看 ， 没 有 密 钥 交 换 可 以 提 供 完 美 前 向 保 密 性 。 但 是 ， 完 全 正 向 保 密 性 ， 一 个 新 术 语 对 P F S 的 实 现 提 供 了 可 能 。 Q U I C 使 用 T L S   1 . 3 ， 该 协 议 支 持 椭 圆 曲 线 （ E C ） D H E 密 钥 交 换 或 有 限 字 段 上 的 预 共 享 密 钥 （ P S K ） 和 D i f f i e - H e l l m a n （ D H ） 。 0 - R T T 密 钥 交 换 提 供 了 完 全 的 正 向 保 密 性 ， 因 为 加 密 规 范 仅 接 受 通 过 0 - R T T 握 手 的 前 向 安 全 连 接 。 尽 管 T L S   1 . 2 还 支 持 前 向 保 密 性 ， 但 从 技 术 上 讲 ， 当 用 户 代 理 发 送 由 只 有 服 务 器 已 知 的 对 称 密 钥 保 护 的 机 密 资 料 副 本 时 ， 正 向 保 密 性 在 会 话 恢 复 期 间 会 丢 失 。 该 协 议 甚 至 为 用 户 代 理 和 服 务 器 之 间 的 初 始 消 息 提 供 了 完 全 的 正 向 保 密 。 此 外 ， 由 于 Q U I C 协 议 不 支 持 长 期 密 钥 ， 因 此 Q U I C 借 助 T L S   1 . 3 可 以 使 用 其 协 议 层 为 应 用 程 序 提 供 完 全 正 向 保 密 功 能 。 4 . 重 放 攻 击 防 护 重 放 攻 击 防 护 除 了 随 机 数 ， Q U I C 实 现 还 用 于 存 储 密 钥 派 生 的 客 户 端 值 。 服 务 器 会 识 别 并 拒 绝 具 有 相 同 密 钥 派 生 值 和 随 机 数 的 任 何 重 复 请 求 。 考 虑 到 用 户 代 理 和 服 务 器 之 间 的 协 议 通 信 开 销 ， 这 种 设 计 被 称 为 性 能 噩 梦 。 从 理 论 上 讲 ， 该 解 决 方 案 看 似 适 用 ， 但 是 在 实 践 中 ， 该 协 议 可 能 会 变 得 很 占 内 存 并 导 致 性 能 问 题 。 当 前 的 设 计 不 是 最 好 的 ， 但 是 从 协 议 层 面 来 说 ， 这 会 防 止 任 何 服 务 器 多 次 接 受 同 一 密 钥 。 同 样 ， Q U I C 在 初 始 步 骤 中 不 提 供 重 放 保 护 ， 而 是 在 服 务 器 初 始 回 复 后 立 即 开 始 保 护 。 Q U I C 是 让 初 始 交 易 能 得 到 应 用 程 序 保 护 并 减 少 协 议 所 占 内 存 。 考 虑 到 W e b 组 件 可 能 会 使 用 从 会 话 密 钥 派 生 的 密 钥 ， 因 此 在 此 阶 段 可 能 会 发 生 重 放 攻 击 。 但 是 ， 可 以 在 应 用 程 序 层 面 使 用 预 防 措 施 来 减 轻 这 种 情 况 。 5 . I P 欺 骗 保 护 欺 骗 保 护 Q U I C 在 握 手 期 间 支 持 地 址 验 证 ， 并 且 需 要 签 名 的 地 址 证 明 ， 从 而 消 除 了 任 何 I P 欺 骗 攻 击 。 I P 地 址 欺 骗 问 题 主 要 在 Q U I C 中 通 过 广 泛 利 用 “ 源 地 址 令 牌 ” 来 解 决 ， “ 源 地 址 令 牌 ” 是 服 务 器 的 经 过 身 份 验 证 的 加 密 块 ， 其 中 包 含 用 户 代 理 的 I P 地 址 和 服 务 器 的 时 间 戳 。 用 户 代 理 可 以 重 复 使 用 服 务 器 生 成 的 源 地 址 令 牌 ， 除 非 连 接 更 改 、 I P 地 址 不 在 变 化 。 由 于 源 地 址 令 牌 用 作 承 载 令 牌 ， 因 此 它 们 可 以 反 复 使 用 ， 并 且 可 以 绕 过 服 务 器 设 置 的 任 何 I P 地 址 限 制 。 由 于 服 务 器 仅 响 应 令 牌 中 的 I P 地 址 ， 因 此 即 使 是 被 盗 的 c o o k i e 或 令 牌 也 不 会 成 功 进 行 I P 欺 骗 。 6 . 防 止 防 止 S S L 降 级 降 级 T L S   1 . 3 可 以 防 止 T L S 降 级 攻 击 ， 因 为 该 协 议 规 定 了 所 有 握 手 通 信 的 密 钥 哈 希 ， 并 且 要 求 握 手 接 收 方 验 证 发 送 的 密 钥 哈 希 。 在 握 手 过 程 中 ， 任 何 检 测 到 的 对 客 户 端 功 能 的 篡 改 尝 试 都 将 导 致 握 手 终 止 并 出 现 错 误 。 此 外 ， 检 测 还 涉 及 用 户 代 理 与 服 务 器 之 间 的 证 书 验 证 消 息 ， 包 括 有 关 特 定 连 接 的 所 有 先 前 消 息 的 P K C S   R S A 哈 希 签 名 。 Q U I C 中 的 校 验 和 实 现 将 成 功 防 止 T L S 降 级 攻 击 。 安 全 挑 战 安 全 挑 战
1 . 0 - R T T 恢 复 漏 洞 恢 复 漏 洞 H T T P   /   3 的 最 大 优 势 之 一 是 0 - R T T 恢 复 ， 它 可 以 极 大 地 提 高 连 接 速 度 并 减 少 延 迟 。 但 是 ， 仅 当 成 功 建 立 了 先 前 的 连 接 ， 并 且 当 前 交 易 使 用 在 上 一 次 连 接 期 间 建 立 了 预 共 享 机 密 时 ， 这 一 优 势 才 发 挥 作 用 。 0 - R T T 恢 复 功 能 存 在 一 些 安 全 方 面 的 缺 点 。 最 常 见 的 攻 击 媒 介 之 一 是 重 放 攻 击 ， 当 对 手 重 新 发 送 初 始 数 据 包 时 可 能 会 造 成 这 种 攻 击 。 在 特 定 的 情 况 下 ， 这 可 能 会 迫 使 服 务 器 认 为 该 请 求 来 自 先 前 已 知 的 客 户 端 。 恢 复 0 - R T T 的 另 一 个 安 全 缺 点 是 完 全 前 向 保 密 的 部 分 失 效 。 如 果 对 手 破 坏 了 令 牌 ， 那 么 他 们 就 可 以 解 密 用 户 代 理 发 送 的 0 - R T T 通 信 内 容 。 2 . 连 接 连 接 I D 操 纵 攻 击 操 纵 攻 击 连 接 I D 操 纵 攻 击 要 求 将 攻 击 者 处 在 用 户 代 理 与 服 务 器 之 间 。 他 们 可 以 在 交 换 客 户 端 和 服 务 器 问 候 消 息 的 初 始 握 手 期 间 操 纵 连 接 I D 。 握 手 将 照 常 进 行 ， 服 务 器 假 定 已 建 立 连 接 ， 但 是 用 户 代 理 将 无 法 解 密 ， 因 为 连 接 I D 需 要 加 密 密 钥 派 生 过 程 的 输 入 步 骤 ， 并 且 用 户 代 理 和 服 务 器 将 计 算 不 同 的 加 密 键 。 用 户 代 理 最 终 将 超 时 ， 并 向 服 务 器 发 送 错 误 消 息 ， 告 知 连 接 已 终 止 。 由 于 客 户 端 使 用 原 始 的 加 密 密 钥 将 错 误 消 息 加 密 到 服 务 器 ， 因 此 服 务 器 将 无 法 解 密 ， 并 且 将 保 持 连 接 状 态 ， 直 到 空 闲 连 接 超 时 （ 通 常 在 1 0 分 钟 内 ） 到 期 为 止 。 当 大 规 模 执 行 时 ， 相 同 的 攻 击 可 能 会 对 服 务 器 造 成 拒 绝 服 务 攻 击 ， 并 保 留 多 个 连 接 ， 直 到 连 接 状 态 过 期 。 保 持 连 接 有 效 的 另 一 种 攻 击 方 法 是 更 改 其 他 参 数 ， 例 如 源 地 址 令 牌 ， 从 而 防 止 客 户 端 建 立 任 何 连 接 。 2 . U D P 放 大 攻 击 放 大 攻 击 为 了 成 功 进 行 放 大 攻 击 ， 攻 击 者 必 须 欺 骗 受 害 者 的 I P 地 址 ， 并 将 U D P 请 求 发 送 到 服 务 器 。 如 果 服 务 器 发 回 更 重 要 的 U D P 响 应 ， 则 攻 击 者 可 以 大 规 模 利 用 此 服 务 器 行 为 并 创 建 D D O S 攻 击 情 形 。 具 体 来 说 ， 在 Q U I C 中 ， 当 对 手 从 目 标 接 受 地 址 验 证 令 牌 并 释 放 最 初 用 于 生 成 令 牌 的 I P 地 址 时 ， 就 会 发 生 U D P 放 大 攻 击 。 攻 击 者 可 以 使 用 相 同 的 I P 地 址 将 0 - R T T 连 接 发 送 回 服 务 器 ， 该 I P 地 址 可 能 已 被 改 为 指 向 不 同 的 端 点 。 通 过 执 行 此 设 置 ， 攻 击 者 可 以 潜 在 地 指 示 服 务 器 向 受 害 服 务 器 发 送 大 量 流 量 。 为 了 防 止 这 种 攻 击 ， H T T P   /   3 具 有 速 率 限 制 功 能 和 短 暂 的 验 证 令 牌 ， 可 以 充 当 D D O S 攻 击 的 补 偿 控 制 ， 同 时 部 分 缓 解 攻 击 情 形 。 3 . 流 量 耗 尽 型 攻 击 流 量 耗 尽 型 攻 击 当 对 手 有 意 启 动 多 个 连 接 流 时 ， 就 会 发 生 流 耗 尽 攻 击 ， 这 可 能 导 致 端 点 耗 尽 。 攻 击 者 可 以 通 过 反 复 提 交 大 量 请 求 来 利 用 穷 尽 序 列 。 尽 管 特 定 的 传 输 参 数 可 能 会 限 制 并 发 活 动 流 的 数 量 ， 但 是 在 某 些 情 况 下 ， 可 能 会 故 意 将 服 务 器 配 置 设 置 为 更 高 数 值 。 由 于 服 务 器 的 协 议 配 置 增 加 了 协 议 性 能 ， 因 此 受 害 服 务 器 可 能 成 为 此 类 攻 击 的 目 标 。 4 . 连 接 重 置 攻 击 连 接 重 置 攻 击 连 接 重 置 攻 击 主 要 是 向 受 害 者 发 送 无 状 态 重 置 ， 从 而 可 能 产 生 类 似 于 T C P 重 置 注 入 攻 击 的 拒 绝 服 务 攻 击 。 如 果 攻 击 者 可 以 获 得 具 有 特 定 连 接 I D 的 连 接 生 成 的 重 置 令 牌 ， 则 可 能 存 在 潜 在 的 攻 击 媒 介 。 最 后 ， 攻 击 者 可 以 使 用 生 成 的 令 牌 重 置 具 有 相 同 连 接 I D 的 活 动 连 接 ， 从 而 使 服 务 器 等 待 连 接 ， 直 到 发 生 超 时 为 止 。 如 果 大 规 模 进 行 此 攻 击 ， 则 服 务 器 必 须 大 量 消 耗 其 资 源 ， 以 等 待 连 接 完 成 。 5 . Q U I C 版 本 降 级 攻 击 版 本 降 级 攻 击 Q U I C 数 据 包 保 护 为 通 信 中 的 所 有 数 据 包 （ 版 本 协 商 数 据 包 除 外 ） 提 供 身 份 验 证 和 加 密 。 版 本 协 商 数 据 包 旨 在 协 商 用 户 代 理 和 服 务 器 之 间 Q U I C 的 版 本 。 该 功 能 可 能 允 许 攻 击 者 将 版 本 降 级 到 Q U I C 的 不 安 全 版 本 。 该 攻 击 目 前 暂 时 不 会 发 生 ， 因 为 只 有 Q U I C 的 一 个 版 本 ， 但 是 将 来 需 要 注 意 。 6 . 缺 少 监 视 支 持 缺 少 监 视 支 持
尽 管 一 些 用 户 代 理 ， 服 务 器 和 信 誉 良 好 的 网 站 支 持 H T T P 3 / Q U I C ， 但 是 许 多 网 络 设 备 （ 例 如 反 向 / 正 向 代 理 ， 负 载 均 衡 器 ， W e b 应 用 程 序 防 火 墙 和 安 全 事 件 监 视 工 具 ） 并 不 完 全 支 持 H T T P / 3 。 与 T C P 不 同 ， Q U I C 连 接 中 不 需 要 套 接 字 ， 这 使 得 检 测 主 机 和 恶 意 连 接 变 得 更 加 困 难 。 恶 意 攻 击 者 可 能 能 够 通 过 Q U I C 中 继 恶 意 有 效 载 荷 并 执 行 数 据 泄 露 攻 击 ， 并 且 保 持 隐 身 状 态 ， 因 为 大 多 数 检 测 工 具 无 法 检 测 到 Q U I C 流 量 。 Q U I C 的 历 史 的 历 史 2 0 1 6 年 ， 互 联 网 工 程 任 务 组 （ I E T F ） 开 始 标 准 化 G o o g l e 的 Q U I C ， 并 宣 布 I E T F   Q U I C 成 为 新 H T T P / 3 版 本 的 基 础 。 但 是 ， 出 于 性 能 和 安 全 方 面 的 考 虑 ， I E T F   Q U I C 与 原 始 Q U I C 设 计 大 相 径 庭 。 T C P 上 的 传 统 W e b 流 量 需 要 三 向 握 手 。 Q U I C 使 用 U D P ， 由 于 往 返 次 数 减 少 和 发 送 的 数 据 包 减 少 ， 因 此 延 迟 减 少 ， 从 而 加 快 了 网 络 流 量 传 输 。 U D P 除 了 速 度 更 快 之 外 ， 还 具 有 其 他 优 点 ， 包 括 连 接 迁 移 、 改 进 延 迟 、 拥 塞 控 制 和 内 置 加 密 。 根 据 G o o g l e 的 说 法 ，   “ 与 T C P   +   T L S 的 1 - 3 次 往 返 相 比 ，   Q U I C 握 手 通 常 需 要 零 往 返 来 发 送 有 效 负 载 。 ”   第 一 个 连 接 需 要 一 个 往 返 ， 而 随 后 的 连 接 则 不 需 要 任 何 往 返 。 同 样 ， 由 于 Q U I C 用 于 多 路 复 用 操 作 ， 因 此 与 T C P 相 比 ， 它 在 数 据 包 丢 失 方 面 做 得 更 好 ， 并 且 握 手 速 度 更 快 。 G o o g l e 的 Q U I C 版 本 现 在 是 g Q U I C 。 从 g Q U I C 进 化 的 H T T P / 3 ， 具 备 了 重 大 的 改 进 ， 并 得 到 I E T F 工 作 组 的 贡 献 和 增 强 。 尽 管 从 技 术 上 讲 H T T P / 3 是 完 整 的 应 用 程 序 协 议 ， 但 Q U I C 指 的 是 基 础 传 输 协 议 ， 它 不 限 于 服 务 W e b 流 量 。 U D P 是 无 连 接 的 ， 不 是 很 可 靠 。 Q U I C 通 过 在 U D P 上 添 加 类 似 于 T C P 的 堆 栈 ， 来 添 加 可 靠 的 连 接 ， 并 在 其 之 上 重 新 发 送 具 有 流 控 制 功 能 的 方 式 来 克 服 这 些 限 制 ， 同 时 解 决 了 T C P 的 行 头 阻 塞 问 题 。 H T T P / 3 使 用 U D P ， 类 似 于 H T T P / 2 使 用 T C P 的 方 式 。 每 个 连 接 都 有 几 个 并 行 流 ， 这 些 并 行 流 用 于 通 过 单 个 连 接 同 时 传 输 数 据 ， 而 不 会 影 响 其 他 流 。 因 此 ， 与 T C P 不 同 ， 为 特 定 的 单 个 流 承 载 数 据 的 丢 失 数 据 包 只 会 影 响 该 特 定 的 流 。 然 后 ， 每 个 流 帧 都 可 以 在 到 达 时 立 即 分 配 给 该 流 ， 因 此 可 以 在 不 丢 失 任 何 流 的 情 况 下 继 续 在 应 用 程 序 中 重 新 组 合 。 Q U I C 的 这 种 连 接 建 立 策 略 是 通 过 加 密 和 传 输 握 手 的 组 合 来 实 现 的 。 和 和 H T T P / 2 的 比 较 分 析 的 比 较 分 析 Q U I C 旨 在 通 过 减 轻 H T T P / 2 的 数 据 包 丢 失 和 延 迟 问 题 来 提 高 性 能 。 虽 然 H T T P / 2 对 每 个 数 据 来 源 使 用 单 个 T C P 连 接 ， 但 这 会 导 致 行 头 阻 塞 问 题 。 例 如 ， 一 个 请 求 的 对 象 可 能 会 停 滞 在 另 一 个 遭 受 丢 失 的 对 象 之 后 ， 直 到 该 对 象 恢 复 为 止 。 Q U I C 通 过 将 H T T P / 2 的 流 层 向 下 推 送 到 传 输 层 来 解 决 此 问 题 ， 从 而 避 免 了 应 用 程 序 层 和 传 输 层 的 问 题 。 H T T P / 3 还 支 持 多 路 复 用 ， 在 与 T L S 直 接 集 成 的 同 时 ， 提 供 独 立 于 其 他 连 接 请 求 的 请 求 。 尽 管 H T T P / 2 和 H T T P / 3 的 工 作 方 式 相 似 ， 但 以 下 是 H T T P / 2 和 H T T P / 3 的 一 些 重 要 区 别 。 区 别 区 别 H T T P / 2 H T T P / 3 传 输 T C P 基 于 U D P 的 Q U I C 流 层 应 用 传 输 默 认 加 密 无 有 独 立 流 无 有 报 头 压 缩 H P A C K Q P A C K 握 手 更 快 的 0 - R T T T C P + T L S 的 1 - 3 R T T 连 接 消 除 无 有 拥 塞 控 制 损 失 恢 复 由 T C P 执 行 由 Q U I C 执 行 从 网 络 堆 栈 的 角 度 来 看 ， H T T P / 2 广 泛 使 用 了 符 合 H T T P 标 准 的 T L S   1 . 2 + ， 底 层 的 T C P 充 当 了 传 输 协 议 。 但 是 ， 在 H T T P / 3 中 ， 默 认 情 况 下 ， 除 了 Q U I C 以 外 ， 还 使 用 T L S   1 . 3 ， 而 U D P 是 传 输 协 议 。 下 图 说 明 了 Q U I C 在 网 络 协 议 堆 栈 中 的 位 置 。 相 比 之 下 ， 以 前 的 版 本 使 用 T L S   1 . 2 ， 并 使 用 T C P 的 拥 塞 控 制 丢 失 恢 复 功 能 ， 而 H T T P / 2 处 理 多 流 功 能 。
图 图 2 ： ：   Q U I C 在 网 络 协 议 堆 栈 中 的 位 置 连 接 连 接 I D 的 优 势 的 优 势 T C P 连 接 即 利 用 数 据 源 和 目 标 网 络 实 体 （ 主 要 是 地 址 和 端 口 ） 来 标 识 特 定 连 接 。 但 是 ， Q U I C 连 接 使 用 连 接 I D ， 它 是 6 4 位 随 机 生 成 的 客 户 端 标 识 符 。 这 项 更 改 对 于 当 前 的 W e b 技 术 非 常 有 利 ， 主 要 是 因 为 要 求 它 们 支 持 用 户 的 移 动 性 。 如 果 用 户 从 W i - F i 网 络 移 动 到 蜂 窝 网 络 ， 则 H T T P / 2   T C P 协 议 将 需 要 基 于 当 前 地 址 建 立 新 的 连 接 。 但 是 ， 由 于 H T T P / 3 Q U I C 协 议 使 用 随 机 连 接 I D ， 因 此 当 从 蜂 窝 网 络 转 移 到 W i - F i 连 接 时 ， H T T P / 3 上 的 客 户 端 更 改 I P 地 址 将 继 续 使 用 现 有 的 连 接 I D 而 不 会 中 断 。 从 协 议 的 角 度 来 看 ， 连 接 I D 提 供 了 其 他 好 处 。 服 务 器 和 用 户 代 理 可 以 使 用 连 接 I D 识 别 原 始 连 接 和 重 传 连 接 ， 并 避 免 T C P 中 普 遍 存 在 的 重 传 歧 义 问 题 。 结 论 结 论 Q U I C 已 获 得 多 数 浏 览 器 的 支 持 。 Y o u T u b e 和 F a c e b o o k 等 重 要 网 站 已 启 用 该 功 能 ， 可 以 更 快 地 加 载 页 面 。 在 撰 写 本 文 时 ， 目 前 只 有 4 ％ 的 顶 级 网 站 支 持 Q U I C 。 微 软 已 经 宣 布 ， 他 们 将 在 内 核 中 交 付 带 有 通 用 Q U I C 库 M s Q u i c 的 W i n d o w s ， 以 支 持 各 种 收 件 箱 功 能 。 Q U I C 和 H T T P / 3 旨 在 满 足 当 今 互 联 网 网 络 性 能 、 可 靠 性 和 安 全 性 的 目 标 。 强 制 性 支 持 T L S   1 . 3 的 安 全 性 得 到 了 显 着 改 善 ， 从 而 解 决 了 H T T P / 2 和 早 期 版 本 的 H T T P 的 弱 点 。 在 H T T P / 3 传 输 过 程 中 使 用 端 到 端 加 密 有 助 于 抵 御 攻 击 者 和 数 据 聚 合 者 的 一 些 隐 私 问 题 。 尽 管 存 在 一 些 弱 点 ， 但 从 性 能 和 安 全 性 角 度 来 看 ， H T T P / 3 仍 将 继 续 发 展 ， 不 管 怎 么 说 都 是 对 H T T P / 2 的 重 大 改 进 。 参 考 链 接 ： H T T P / 3 增 强 安 全 性 的 6 种 方 式 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理