الدكتور المهندس سمير خانجي

HTTP/3

الدكتور المهندس سمير خانجي

يُسقط بروتوكول HTTP/3 دلالات بروتوكول HTTP على طبقة النقل QUIC، وقد أصبح الآن معياراً مكتملاً للإنترنت. يُقلل هذا التصميم من زمن استجابة المصافحة (Handshake)، ويزيل حجب رأس القناة (Head-of-Line Blocking) على مستوى بروتوكول TCP، ويقوم بتشفير ترويسات طبقة النقل بشكل افتراضي. إلا أن هذه الخصائص ذاتها تُغير مساحة الهجمات الأمنية. تستعرض هذه المقالة هيكلية وميزات بروتوكول HTTP/3، وتقارن البروتوكول مع نسختي HTTP/1.1 و HTTP/2 بالاستناد إلى القياسات المنشورة، وتصنف نقاط الضعف المُوثّقة في تصنيف موجز يغطي: استنفاد موارد المصافحة، هجمات الإعادة عبر الاتصال الصفري (0-RTT)، هجرة الاتصالات، حالة QPACK، تسريب الخصوصية، وعدم تزامن بوابات العبور (Gateways). كما تُحدد المقالة ثغرة متكررة: يحدد المعيار (RFC 9000) حجم الاستجابة غير المُتحقّق منها بثلاثة أضعاف حجم حزمة بيانات (Datagram) المستقبلة، وهو ما يحدّ من تضخيم البايتات ولكنه لا يضع حداً لعبء العمل المعماري/التشفيري (CPU) المُنفق على معالجة حزم (Initial) و(CRYPTO). تقترح الورقة نظام REAP-H3 (حماية تكيفية مدعومة بالسمعة لبروتوكول HTTP/3)، وهو خوارزمية قبول على مستوى الخادم تجمع بين: التحقق من العنوان، وميزانية تكلفة تشفير لكل مصدر، وحالة (CRYPTO) غير مكتملة مقيدة، وألغاز تُحفزها الأحمال، وفلتر بلوم متدرج للحماية ضد إعادة تشغيل الاتصال الصفري (0-RTT anti-replay). تُظهر المحاكاة المتقطعة للأحداث (Discrete-event simulation)، مع وحدات تشفير مُعايرة وفقاً لمتوسط أوقات تنفيذ مكتبة OpenSSL لأساسيات TLS 1.3 التي يستخدمها معيار (RFC 9001)، أن خط الأساس القائم على البايتات فقط ينهار تحت تدفقات الحزم الأولية (Initial floods) ذات المعدل المرتفع؛ بينما يحافظ نظام REAP-H3 على نجاح عالٍ في المصافحة المشروعة ضد كل من الحزم الأولية المُزوّرة وتدفقات (CRYPTO) المُتحقّق من عناوينها، وذلك إلى أن تصبح شبكة الروبوتات (Botnet) مقاربة في حجمها لميزانية مصادر الخادم. يتم استعراض الحساسية للمتغيرات (C_max و ρ و U_max و W)، إلى جانب عرض ملف تعريف النشر التشغيلي.