Nieuwe HTTP-standaard krijgt encryptie ingebouwd

Vanaf circa 1997 is de standaard http 1.1

HTTP 2.0 moet encryptie gaan gebruiken om afluisterende overheden te dwarsbomen. De ingebouwde versleuteling is voorgesteld door de ontwerpers van de webspecificatie die zijn verenigd in de IETF.

Standaardengroep de Internet Engineering Task Force (IETF) gaat encryptie opnemen in de nieuwe HTTP-specificatie die volgend jaar vastgesteld wordt, schrijft de Financial Times. De groep praatte eerder deze maand in Berlijn over de toekomst van het web na de PRISM-onthullingen. Er is bij de IETF een enorme meerderheid voor het opnemen van cryptografisch protocol TLS (Transport Layer Security) in de webstandaard.

Robuuster web

Met het oog op XKeyScore, de tool waarmee de NSA internetverkeer tapt, is de organisatie erop gebrand om het web robuuster te maken om dergelijk tappen te bemoeilijken. HTTP-verkeer bevat een hoop persoonlijk identificeerbare informatie, stelt de IETF (PDF). Het is nu te eenvoudig om dit verkeer van punt naar punt te onderscheppen terwijl het onderweg is op internet.

Servers moeten daarom HTTPS implementeren voor gevoelige gegevens, maar dat is volgens de organisatie nog niet genoeg. De werkgroep TLS binnen de IETF moet voor een oplossing zorgen. Ook kijkt de standaardenorganisatie naar het open source webprotocol SPDY dat ook TLS-encryptie gebruikt en aan de basis komt te staan van HTTP.

Vroeg stadium

HTTP 2.0 moet sneller werken dan het oude protocol. Een eerste draft is vorig jaar al verschenen. De uiteindelijke versie staat gepland voor 2014. De groep voorziet wel nieuwe issues bij het verwerken van encryptie in de kern van het protocol. Daarom moet er goed worden overlegd met de werkgroep en met standaardenorganisatie W3C (World Wide Web Consortium) voor het nieuwe ontwerp.

''Een gebrek aan encryptie in het web is een kwestie van leven of dood'', zegt IETF-lid Mike Belshe tegen de Financial Times. Het plan verkeert nu in een vroeg stadium en moet nog uitgebreid worden besproken met andere organisaties en webontwerpers. Pas daarna kan er een sluitend plan komen voor TLS ingebouwd in HTTP 2.0.

Roep om hervorming

Webprivacygroepen roepen ook dat het tijd is om het web te hervormen. Onder meer de World Wide Web Foundation van webvader Tim Berners-Lee waarschuwt dat het vrije internet in gevaar is en dat er daarom iets moet veranderen in de status quo.

''De erosie van online privacy gebeurt op hoge snelheid door het grootschalige afluisteren en als we niet direct stappen zetten om te hervormen, wordt het idee van vrije en veilige online communicatie een voetnoot in de geschiedenisboeken'', stelt een brandbrief van onder meer de digitale burgerrechtenorganisatie Article 19 en de organisatie van Berners-Lee.

Meer informatie over http: http://nl.wikipedia.org/wiki/Hypertext_Transfer_Protocol

Auteur: Henk-Jan Buist
Bron: http://webwereld.nl/beveiliging/79021-nieuwe-http-standaard-krijgt-encryptie-ingebouwd