28、iHTTP：非机密HTTP流量的高效认证

iHTTP：非机密HTTP流量的高效认证

1. HTTP数据完整性的重要性

数据所有者通常选择HTTPS来保证数据机密性，选择HTTP来实现高效的数据传输。尽管HTTP数据不具备机密性，但数据完整性依然至关重要。缺乏数据完整性会给网站所有者和客户端带来负面影响，例如：
- 广告欺诈 ：HTTP网页内容可能被实时修改，插入或重写广告。研究估计，一个拥有100个用户的WiFi热点，通过重写HTTP广告内容，每年可获得49400美元的收入。
- Drive - By Pharming攻击 ：恶意JavaScript会重新配置受害者路由器的DNS，将客户端重定向到虚假页面，攻击者可以借此发起网络钓鱼攻击或向客户端提供虚假数据。

要保护非敏感的HTTP内容不被恶意修改，简单的方法是为所有网站启用HTTPS，但这会给服务器和客户端带来大量开销，且不支持网络缓存，而网络缓存能显著提升性能并减少上行带宽使用。因此，需要一种在不牺牲灵活性和可扩展性的前提下，为HTTP数据提供认证和完整性保护的方法。

2. 现有解决方案及其局限性

解决方案	原理	局限性
Web Tripwires	在HTML页面中嵌入JavaScript测量代理，验证服务器响应和客户端渲染之间的网页内容是否改变	对测量代理本身无安全保护，易被绕过