连接攻击：HTTP/3协议还需要面对哪些安全挑战

　　HTTP/2解决了单个TCP连接的使用效率低的问题，但会产生队头阻塞问题。为了彻底从根解决问题。那就需要彻底更换底层的TCP协议，这就是谷歌多年探索的基于UDP的QUIC协议，这也是HTTP/3的基础。HTTP/3是超文本传输协议（HTTP）的第三个正式版本，将改善网络性能和稳定性，解决各种安全隐私问题，但尽管如此，仍存在一些安全挑战。

　　安全挑战

　　1、0-RTT恢复漏洞

　　HTTP / 3的最大优势之一是0-RTT恢复，它可以极大地提高连接速度并减少延迟。但是，仅当成功建立了先前的连接，并且当前交易使用在上一次连接期间建立了预共享机密时，这一优势才发挥作用。

　　2、连接ID操纵攻击

　　连接ID操纵攻击要求将攻击者处在用户代理与主机之间。他们可以在交换客户端和主机问候消息的初始握手期间操纵连接ID。握手将照常进行，主机假定已建立连接，但是用户代理将无法解密，因为连接ID需要加密密钥派生过程的输入步骤，并且用户代理和主机将计算不同的加密键。用户代理最终将超时，并向主机发送错误消息，告知连接已终止。由于客户端使用原始的加密密钥将错误消息加密到主机，因此主机将无法解密，并且将保持连接状态，直到空闲连接超时（通常在10分钟内）到期为止。

　　3、UDP放大攻击

　　为了成功进行放大攻击，攻击者必须欺骗受害者的IP地址，并将UDP请求发送到主机。如果主机发回更重要的UDP响应，则攻击者可以大规模利用此主机行为并创建DDOS攻击情形。

　　具体来说，在QUIC中，当对手从目标接受地址验证令牌并释放最初用于生成令牌的IP地址时，就会发生UDP放大攻击。攻击者可以使用相同的IP地址将0-RTT连接发送回主机，该IP地址可能已被改为指向不同的端点。通过执行此设置，攻击者可以潜在地指示主机向受害主机发送大量流量。为了防止这种攻击，HTTP / 3具有速率限制功能和短暂的验证令牌，可以充当DDOS攻击的补偿控制，同时部分缓解攻击情形。

　　4、流量耗尽型攻击

　　当对手有意启动多个连接流时，就会发生流耗尽攻击，这可能导致端点耗尽。攻击者可以通过反复提交大量请求来利用穷尽序列。尽管特定的传输参数可能会限制并发活动流的数量，但是在某些情况下，可能会故意将主机配置设置为更高数值。由于主机的协议配置增加了协议性能，因此受害主机可能成为此类攻击的目标。

　　5、连接重置攻击

　　连接重置攻击主要是向受害者发送无状态重置，从而可能产生类似于TCP重置注入攻击的拒绝服务攻击。如果攻击者可以获得具有特定连接ID的连接生成的重置令牌，则可能存在潜在的攻击媒介。最后，攻击者可以使用生成的令牌重置具有相同连接ID的活动连接，从而使主机等待连接，直到发生超时为止。如果大规模进行此攻击，则主机必须大量消耗其资源，以等待连接完成。

　　6、QUIC版本降级攻击

　　QUIC数据包保护为通信中的所有数据包（版本协商数据包除外）提供身份验证和加密。版本协商数据包旨在协商用户代理和主机之间QUIC的版本。该功能可能允许攻击者将版本降级到QUIC的不安全版本。该攻击目前暂时不会发生，因为只有QUIC的一个版本，但是将来需要注意。

　　7、缺少监视支持

　　尽管一些用户代理，主机和信誉良好的网站支持HTTP3/QUIC，但是许多网络设备（例如反向/正向代理，负载均衡器，Web应用程序防火墙和安全事件监视工具）并不完全支持HTTP/3。与TCP不同，QUIC连接中不需要套接字，这使得检测主机和恶意连接变得更加困难。恶意攻击者可能能够通过QUIC中继恶意有效载荷并执行数据泄露攻击，并且保持隐身状态，因为大多数检测工具无法检测到QUIC流量。

　　综上，我们能看到虽HTTP/3仍存在安全挑战，但HTTP/3也仍在发展。QUIC和HTTP/3旨在满足当今互联网网络性能、可靠性和安全性的目标。就让我们期待吧。