JVNVU#98433488: HTTP/2 の実装に対するサービス運用妨害 (DoS) 攻撃手法
HTTP/2 通信の処理は、HTTP/1.1 通信の処理と比較して多くのリソースが必要であり、RFC7540 の Security Considerations セクションにおいても、サービス運用妨害 (DoS) 状態に関する検討が行われています(10.5. Denial-of-Service Considerations)。しかし、どのように対策すべきかは実装者にまかされており、これが以下の問題につながっています。 Data Dribble - CVE-2019-9511 攻撃者は複数のストリームを通じて大きなサイズのデータをリクエストし、ウィンドウサイズやストリームの優先順位を操作して、データが 1 バイト単位で処理されるように仕向けます。これらのデータを効率的に処理できなければ、CPU, メモリ、もしくはその両方が大量に消費され、サービス運用妨害 (DoS) 状態が引き起こされる可能
HTTP/2とTLSの間でapacheがハマった脆弱性(CVE-2016-4979) - ぼちぼち日記
0. 短いまとめ 昨晩apache2.4でHTTP/2利用時にTLSクライアント認証をバイパスする脆弱性(CVE-2016-4979)が公表され、対策版がリリースされました。 実際に試すと Firefoxで認証バイパスができることが確認できました。 HTTP/2でTLSのクライアント認証を利用するには仕様上大きな制限があり、SPDY時代から長年の課題となっています。 この課題を解決するため、Secondary Certificate Authentication in HTTP/2という拡張仕様が現在IETFで議論中です。 1. はじめに ちょうど昨晩、apache2.4のhttpdサーバの脆弱性(CVE-2016-4979)が公開され、セキュリティリリースが行われました。 CVE-2016-4979: X509 Client certificate based authenticatio
HTTPS化もHTTP/2にすれば負荷を下げられる～奥一穂氏による「HTTPとサーバ技術の最新動向」（後編）。Developers Summit 2016
HTTPS化もHTTP/2にすれば負荷を下げられる～奥一穂氏による「HTTPとサーバ技術の最新動向」（後編）。Developers Summit 2016 HTTP/2の登場を背景に、いまHTTPとWebサーバの技術がどのように進化しているのか、Developers Summit 2016で行われた同氏のセッション「HTTP とサーバ技術の最新動向」の内容をダイジェストで紹介します。 記事は3部に分かれています。いまお読みの記事は後編です。 （前編）レイテンシに負けないプロトコルとして登場したHTTP/2 （中編）リクエストを待たずに送信を開始する「サーバプッシュ」 （後編）HTTPS化もHTTP/2にすれば負荷を下げられる HTTP/2だとパケットをまとめられるので負荷が下がる 次はHTTPSとサーバ負荷についての話です。 多くの方が、HTTPS化するとWebサーバの負荷が上がるんじゃな
リクエストを待たずに送信を開始する「サーバプッシュ」～奥一穂氏による「HTTPとサーバ技術の最新動向」（中編）。Developers Summit 2016
リクエストを待たずに送信を開始する「サーバプッシュ」～奥一穂氏による「HTTPとサーバ技術の最新動向」（中編）。Developers Summit 2016 WebサーバはWebの誕生と同時に登場したソフトウェアですが、「HTTPとサーバの技術はまだ進化中」と説明するのは、新しいWebサーバの実装「H2O」の開発者であるディー・エヌ・エーの奥一穂氏。 HTTP/2の登場を背景に、いまHTTPとWebサーバの技術がどのように進化しているのか、Developers Summit 2016で行われた同氏のセッション「HTTP とサーバ技術の最新動向」の内容をダイジェストで紹介します。 記事は3部に分かれています。いまお読みの記事は中編です。 （前編）レイテンシに負けないプロトコルとして登場したHTTP/2 （中編）リクエストを待たずに送信を開始する「サーバプッシュ」 （後編）HTTPS化もHTT
レイテンシに負けないプロトコルとして登場したHTTP/2～奥一穂氏による「HTTPとサーバ技術の最新動向」（前編）。Developers Summit 2016
私はWeb関連の基盤技術を20年くらいやっています。 最近の仕事としてはディー・エヌ・エーで「H2O」というWebサーバを開発していて、2016年2月に1.7.0をリリースしました。HTTP/2対応のWebサーバとしてはおそらく世界最速で洗練された実装だろうという評価をいただいています。 本日はサーバ技術をそもそもどういう評価軸でわれわれが見ているのか、HTTP/2の特長。そしてサーバプッシュとはなにか、HTTPS化はどれだけサーバ負荷が上がるのかについてのわれわれの見解。Webサーバ内でのスクリプト実行がどう変わってきているのか、といった話をしていきます。 サーバ技術の評価軸 サーバ技術の評価軸をどう考えているかですが、大きく分けて4つの項目で考えています。 サーバ負荷 転送データ量 応答性 設定・運用コスト まず「サーバ負荷」です。小規模なWebサイトではサーバ負荷はそれほど問題にはな
HTTP2 の RFC7540 が公開されました - Block Rockin’ Codes
Intro 今朝、ついにずっと策定作業が行われていた HTTP/1.1 の後継仕様である HTTP2 と、 関連仕様である HPACK が、 RFC として公開されました。 ついに HTTP2 RFC 7540 出た！！ #http2study / “rfc7540.txt” http://t.co/CuaVul98l3— Jxck (@Jxck_) 2015, 5月 14 それぞれ番号は 7540 と 7541 になります。 RFC7540 - Hypertext Transfer Protocol Version 2 (HTTP/2) RFC7541 - HPACK: Header Compression for HTTP/2 ちなみに HTTP/2.0 ではなく HTTP/2 が正式名称です。(マイナーバージョンアップでの HTTP/2.1 などはありません) 二年半 HTTP2 の
HTTP2 時代のサーバサイドアーキテクチャ考察 - Block Rockin’ Codes
update 色々と twitter で議論が起こったのでまとめて貼っておきます。 togetter.com みなさんありがとうございました。 intro HTTP2 の RFC 化も目前ということで、そろそろ実際に HTTP2 を導入していくにあたってサーバサイドの構成についても、具体的にどう変わっていくかという点を考え始めていく必要があります。 そんな話を @koichik さんとしていたら、色々と考えが膨らんだのでメモしておきます。 前提 今回は、中規模のサービスを想定し、特に HTTP2 のサーバプッシュを踏まえた上でのコンテンツ配信などに、どういう構成が考えられるかを考えていきます。 また、本エントリ内では独自に以下の表記を採用します。 HTTP/1.1 = HTTP/1.1 (平文) HTTP/2 = HTTP/2 (平文) HTTPS/1.1 = HTTP/1.1 over
小ネタ: kurado + h2o 0.9.1 でHTTP2有効にしたときのバッドノウハウ : D-7 <altijd in beweging>
更新： h2oを0.9.1から1.0.0にしたらこのハック無しでもいけたくさいです！ HTTP2使いになりたい！と思いはじめて数ヶ月。でもなかなかうまいことここぞという使い道がなかったので、2週間ほど前にとりあえず仕事でkuradoを立てた時に前段にh2oを入れて様子を見ていた。kuradoならたくさんグラフ表示されるし、HTTP2の恩恵を受けられるはず…！と思って。HTTP1モードでは当然特になんにも問題はなかったのだが、いざChromeでenable-spdy4を有効にした時になーんか… 崩れる… 具体的にはCSS、画像の類いがこない事が多いが、たまにメインのHTML部分が返ってこない。Chromeの開発者ツールやnet-internalsを見ててもただERR::connectionResetみたいなエラーが返ってくるだけで全然意味がわからなかったので、しばらくそれはそれで忘れてた。
Google、「SPDY」終了と「HTTP/2」サポートを発表
米Googleは2月9日（現地時間）、2009年に発表したアプリケーションレイヤープロトコル「SPDY」のサポートを2016年初頭までに終了する計画を発表した。 SPDYは、ネットワーキングプロトコル「HTTP（Hypertext Transfer Protocol）」をサポートし、Webページ表示を高速化する目的で構築されたプロトコル。立ち上げ当時、ほとんどのWebサイトはHTTPのバージョン1.1（HTTP/1.1）を採用していたが、HTTP/2の標準化が近いため、Webブラウザ「Chrome 40」の次のアップデートから段階的にHTTP/2をサポートするという。 HTTP/2はSPDYをベースとしており、SPDYの複数ストリームのマルチプレックス機能、ヘッダ圧縮機能、リクエストの優先度指定機能などがHTTP/2に統合されている。 インターネット技術の標準化を策定するIETF（Inte
HTTP/2 リンク集 - ASnoKaze blog
定期的に更新します 公式 IETF WGページ：draft一覧、憲章など HTTP/2リポジトリ 仕様群：編集中の仕様群 実装リスト 運用ガイド FAQ(日本語訳) WGリポジトリ ミーティング議事録 関連仕様：alt-svcとhttp2-encryption ML httpbis http-devops webpush 関連I-D draft-kerwin-http2-encoded-data draft-ietf-tls-applayerprotoneg draft-thomson-webpush-http2-00 日本語解説記事 仕様翻訳 http2.info HTTP 2.0の最新動向：HTTP/2.0の仕様策定開始当初の解説記事 変わるWebプロトコルの常識（SPDY, HTTP2.0編） SPDY & HTTP2.0 & QUIC HTTP/2における明示的プロキシ(Expli
HTTP/2 入門
ストリームによる多重化 2つ目の特徴は「ストリーム」です。従来のHTTPでは、リクエストとレスポンスの組を1つずつしか同時に送受信できないことが、パフォーマンス上のボトルネックになっています。この問題を改善するべくHTTP/1.1では新たにパイプラインが導入されましたが、一部のレスポンスに時間がかかるような場面でレスポンスが詰まってしまう問題などがあり、広く使われてはいません。そこで、HTTP/2では1つの接続上にストリームと呼ばれる仮想的な双方向シーケンスを作ることでこの問題に取り組んでいます。 1つの接続上に作られた複数のストリーム上では、複数のフレームを同時並行で転送できます。例えば、あるストリーム上ではリクエストにあたるフレームが送信中でも、別のストリームではレスポンスにあたるフレームを受信するといったことが可能になります。これにより、全体的なパフォーマンスが向上します。 ヘッダー
HTTP2を試してみる | GREE Engineering
初めまして、インフラストラクチャ本部の後藤です。普段はChefを用いたサーバの自動構築環境の開発に従事しております。 今回は、近頃若者の間でも話題になっているHTTP2についてお話したいと思います。 2012年の末頃、HTTP1.1のセマンティクスを維持したままパフォーマンスを改善するという目的でHTTP2の仕様策定が開始されました。そんなHTTP2もワーキンググループ・ラストコールに向けて大詰めを迎えています。 現在最新版はdraft12となっており、すでに幾つかの実装が存在しています。HTTP2のwikiで確認できます。例えば、Google ChromeのCanaryビルドやFirefox Nightlyビルド では既にHTTP2が使用可能です。 またサービスとしては、twitter.com が対応しています。 HTTP2の特徴 HTTP2はGoogleの考案したSPDYと言うプロトコ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
HTTP/2で 速くなるとき ならないとき
「HTTP/2」がついに登場！ 開発者が知っておきたい通信の仕組み・新機能・導入方法
https://www.rfc-editor.org/rfc/rfc7540.txt
HTTP2 最速実装 〜入門編〜