流水线及多路复用对估计HTTP/2.0 Web对象大小的影响
密码学与安全
2017-07-04 v1
摘要
HTTP响应大小是一种众所周知的侧信道攻击。随着HTTP/2.0的部署，响应大小估计攻击通常被以流水线和响应多路复用阻止窃听者发现响应大小为由而不予考虑。然而，流水线和响应多路复用在实际估计HTTP响应大小时所产生的影响尚未得到充分研究。在本文中，我们旨在帮助理解流水线和响应多路复用在估计互联网上Web对象大小方面的作用。我们开展了一项实验，从1万个流行网站收集HTTP响应大小和TLS记录大小。我们收集了证据并讨论了当今互联网上使用的流水线和响应多路复用数量有限的原因：我们观察到的HTTP2 Web对象中仅有29%被流水线化，且仅5%被多路复用。我们还提供了不同攻击假设下的最坏情况结果，并展示了从TLS记录大小估计响应大小的简单模型可以多么有效。我们的结论是，流水线和尤其是响应多路复用能够如预期那样导致相对对象大小估计误差的明显增大，但当今互联网上观察到的多路复用程度有限，以及对当前流水线机制的攻击相对简单，阻碍了它们帮助防止Web对象大小估计的能力。
引用
@article{arxiv.1707.00641,
title = {Effect of Pipelining and Multiplexing in Estimating HTTP/2.0 Web Object Sizes},
author = {Ricardo Morla},
journal= {arXiv preprint arXiv:1707.00641},
year = {2017}
}