Intel создала протокол HTTPA для проверки безопасности серверных вычислений

Сетевой протокол, позволяющий гарантировать безопасность произведенных на сервере вычислений, разработала компания Intel, 15 октября следует из документа «HTTPA: HTTPS Attestable Protocol», опубликованного инженерами компании. Новый протокол HTTPA, дополняющий широко распространенный HTTPS, позволяет проверить целостность вычислений, осуществляемых сервером в так назывыаемой TEE-среде (Trusted Execution Environment), защищенной от злонамеренных модификаций в результате взлома или диверсии администратора. HTTPA поддерживает процедуру проверки подлинности защищенной среды (анклава), в контексте которой выполняются вычисления на сервере, а значит и веб-сервиса в целом. Помимо стандартных для HTTPS методов, протокол вводит новый HTTP-метод «ATTEST», который позволяет обрабатывать три типа запросов и ответов: preflight — проверка поддержки удалённой стороной аттестации анклавов; attest — согласование параметров аттестации; trusted session — формирование сессионного ключа для защищенного обмена информацией. Однако HTTPA не в состоянии проверить вычисления, произведенные web-сервером вне TEE-окружения и, в целом, протокол нацелен на работу со специализированными сервисами, к которым предъявляются повышенные требования по части целостности информации, такими как финансовые и медицинские системы. Если же необходимо гарантировать целостность данных как на стороне сервера, так и на стороне клиента, то в этом случае предусмотрен более усложненный вариант нового протокола — mHTTPA (Mutual HTTPA), выполняющий двухстороннюю верификацию. Несмотря на то, что протокол разрабатывается компанией Intel, он способен взаимодействовать не только с защищенной средой Intel SGX, но и другими TEE-системами. Напомним, протокол HTTPS гарантирует защиту данных от перехвата или модификации на этапе их передачи по сети, однако не в состоянии проверить корректность самих данных (вычислений), отсылаемых сервером клиенту.