Lỗ hổng bảo mật HTTP/1.1 xuất hiện từ sự bất đồng trong phân tích cú pháp của các triển khai phổ biến

Cộng đồng phát triển web đang phải đối mặt với những lo ngại nghiêm trọng về bảo mật xung quanh các triển khai HTTP/1.1, khi các chuyên gia tiết lộ rằng ngay cả những bộ phân tích cú pháp đã được thử nghiệm kỹ lưỡng cũng không thống nhất về cách diễn giải các yêu cầu. Sự bất đồng này trở nên đặc biệt nguy hiểm khi kết hợp với reverse proxy và các yêu cầu pipeline, tạo ra những lỗ hổng có thể làm tổn hại đến các ứng dụng web.

Thách thức triển khai bộ phân tích cú pháp tạo ra rủi ro bảo mật

Vấn đề cốt lõi xuất phát từ sự phức tạp của việc phân tích cú pháp HTTP/1.1, nơi các triển khai khác nhau xử lý các trường hợp biên một cách khác nhau. Khi các yêu cầu đi qua reverse proxy đến máy chủ gốc, những khác biệt trong phân tích cú pháp này có thể dẫn đến các cuộc tấn công mất đồng bộ yêu cầu. Vấn đề nghiêm trọng đến mức một số nhà nghiên cứu bảo mật đang kêu gọi hoàn toàn từ bỏ HTTP/1.1 để chuyển sang các phiên bản giao thức mới hơn.

Các cuộc thảo luận trong cộng đồng cho thấy rằng mặc dù các bộ phân tích cú pháp HTTP có vẻ như là một vấn đề đã được giải quyết, nhưng nguy hiểm nằm ở việc các nhà phát triển cố gắng triển khai bộ phân tích cú pháp của riêng họ mà không hiểu đầy đủ về sự phức tạp của giao thức. Bản chất tưởng chừng đơn giản của HTTP/1.1 thường dẫn đến việc đánh giá thấp sự phức tạp liên quan đến việc tạo ra một bộ phân tích cú pháp an toàn và tuân thủ.

Bộ phân tích cú pháp (Parser): Một phần mềm đọc và diễn giải các yêu cầu HTTP theo đặc tả giao thức Mất đồng bộ yêu cầu (Request desynchronization): Khi các máy chủ khác nhau diễn giải cùng một yêu cầu HTTP một cách khác nhau, có thể cho phép kẻ tấn công len lỏi các yêu cầu độc hại

Dòng thời gian phát triển giao thức HTTP

• HTTP/1.0: Giao thức đơn giản với các chức năng cơ bản
• HTTP/1.1: Bổ sung các tính năng như kết nối bền vững, pipelining và mã hóa chunked
• HTTP/2: Giới thiệu multiplexing và binary framing
• HTTP/3: Được xây dựng trên giao thức QUIC để cải thiện hiệu suất

Các mối quan ngại bảo mật chính

• Các cuộc tấn công desynchronization yêu cầu thông qua sự bất đồng của parser
• Các yêu cầu HTTP pipelined tạo ra lỗ hổng với reverse proxy
• Sự khác biệt trong xử lý trường hợp đặc biệt giữa các triển khai
• Các triển khai parser tùy chỉnh thiếu các cân nhắc bảo mật phù hợp

Sự đơn giản lừa dối của HTTP/1.0 so với độ phức tạp hiện đại

Trong khi HTTP/1.0 với hỗ trợ header Host cơ bản vẫn tương đối đơn giản để triển khai, thì sự phát triển sang HTTP/1.1 đã đưa ra những phức tạp đáng kể. Cộng đồng thừa nhận rằng sự đơn giản của HTTP/1.0 đã làm cho nó trở nên đẹp đẽ và dễ tiếp cận, nhưng những hạn chế của nó đã thúc đẩy nhu cầu về các tính năng phức tạp hơn trong các phiên bản sau này.

Quá trình chuyển đổi từ HTTP/1.1 sang HTTP/2 và HTTP/3 chỉ làm gia tăng những thách thức này. Các triển khai hiện đại thường phải hỗ trợ nhiều phiên bản HTTP đồng thời, tích lũy độ phức tạp thay vì thay thế nó. Cách tiếp cận nhiều lớp này có nghĩa là ngay cả các triển khai HTTP/3 tiên tiến nhất thường cần duy trì hỗ trợ HTTP/1.1, kế thừa tất cả các thách thức phân tích cú pháp của nó.

Tác động thực tế đến phát triển web

Các tác động bảo mật mở rộng ra ngoài những lo ngại lý thuyết. Các triển khai thực tế phải đối mặt với rủi ro thực sự khi các thành phần khác nhau trong cơ sở hạ tầng web của họ diễn giải các yêu cầu HTTP một cách không nhất quán. Điều này đặc biệt có vấn đề trong các kiến trúc phức tạp liên quan đến load balancer, reverse proxy và máy chủ gốc từ các nhà cung cấp khác nhau.

Ngay cả những triển khai phổ biến và đã được thử nghiệm kỹ lưỡng cũng không thống nhất về cách diễn giải các yêu cầu, điều này gây ra lỗ hổng khi chuyển tiếp chúng đến máy chủ gốc

Bất chấp những thách thức này, cộng đồng phát triển web vẫn tiếp tục phụ thuộc rất nhiều vào HTTP/1.1 do sự áp dụng rộng rãi và tính khả dụng của các thư viện trưởng thành. Hầu hết các nhà phát triển tránh triển khai bộ phân tích cú pháp tùy chỉnh, thay vào đó tận dụng các thư viện đã được kiểm tra kỹ lưỡng có sẵn trên hầu hết mọi ngôn ngữ lập trình và nền tảng.

Cuộc thảo luận đang diễn ra làm nổi bật một căng thẳng cơ bản trong sự phát triển giao thức web: nhu cầu về khả năng tương thích ngược và áp dụng phổ biến thường xung đột với các mục tiêu bảo mật và đơn giản. Khi web tiếp tục phát triển, việc giải quyết những bất nhất trong bộ phân tích cú pháp này trở nên quan trọng để duy trì một cơ sở hạ tầng internet an toàn.

Tham khảo: HTTP IS NOT SIMPLE