BLACK HAT USA 2021 – Kelemahan implementasi dan ketidaksempurnaan dalam spesifikasi teknis seputar HTTP/2 membuat situs web yang menggunakan protokol jaringan menghadapi serangkaian risiko baru, seorang peneliti keamanan memperingatkan dalam presentasi di Black Hat USA, Kamis.
James Kettle — direktur penelitian di PortSwigger yang di Black Hat dua tahun mendemonstrasikan apa yang disebut dengan serangan Desync terhadap situs web yang menggunakan protokol HTTP — minggu ini menunjukkan bagaimana serangan serupa dapat dilakukan dengan potensi konsekuensi yang parah terhadap situs web yang menggunakan HTTP/2 standar.
Sebagai bukti konsep, Kettle menjelaskan serangan yang dapat dia lakukan menggunakan tekniknya terhadap situs web milik organisasi seperti Netflix, yang didukung oleh penyeimbang load balancer Amazon, dan situs web yang menggunakan firewall aplikasi Web cloud Imperva. Dalam banyak kasus, dia dapat mengarahkan permintaan dari server yang menghadap ke Web di situs ini ke servernya sendiri.
Hampir 50% dari semua situs web saat ini menggunakan protokol HTTP/2 (H2), yang diperkenalkan pada tahun 2015 sebagai alternatif yang lebih cepat dan sederhana untuk HTTP/1.1. Seperti yang dijelaskan Google, “semua konsep inti, seperti metode HTTP, kode status, URI, dan bidang header, tetap di tempatnya,” dengan protokol baru. “Sebaliknya, HTTP/2 memodifikasi bagaimana data diformat (dibingkai) dan diangkut antara klien dan server, keduanya mengelola seluruh proses, dan menyembunyikan semua kerumitan dari aplikasi kami di dalam lapisan pembingkaian baru.”
Selengkapnya: Dark Reading
