30、保障Web应用安全：iHTTP与ARC技术解析

保障Web应用安全：iHTTP与ARC技术解析

1. 引言

在当今数字化时代，Web应用面临着各种各样复杂的攻击。其中，HTTP参数污染（HPP）是一种新发现的攻击技术，攻击者通过操纵请求URL的查询参数来利用Web应用的漏洞。此外，传统的HTTP完整性技术在性能方面也存在一定的不足。本文将介绍两种技术，iHTTP用于高效认证非机密HTTP流量，ARC则用于保护Web应用免受HPP攻击。

2. iHTTP：高效认证非机密HTTP流量

iHTTP是一种新的协议，旨在实现客户端静态HTTP响应数据的轻量级认证。它具有以下特点：
- 自适应处理数据编码 ：iHTTP能够自适应地处理不同的数据编码，在不影响用户体验的前提下提高性能。
- 使用哈希链滑动时间戳 ：通过哈希链基于的滑动时间戳，iHTTP可以在不使用公钥操作的情况下提供高效的新鲜度认证。
- 利用机会哈希验证 ：该协议利用机会哈希验证来减少客户端的公钥操作。

实验评估表明，iHTTP与HTTP的性能相似，并且在处理客户端静态数据时，比HTTPS具有更高的吞吐量和更低的最大响应时间。例如，普通基于签名的方法每页加载平均需要7.4321秒，而启用机会哈希验证的页面平均加载时间为5.8291秒，这表明机会哈希验证相比之前的HTTP完整性技术将客户端的计算开销降低了21%，并且随着HTML页面中HTTP对象数量的增加，性能差异会更加明显。

3. HTTP参数污染（HPP）

3.1 HPP概述

Web应用从简单的静态文档存储