HTTP/3, web trafiğini TCP yerine QUIC adlı, UDP üzerinde çalışan bir taşıma protokolüyle taşıyan HTTP sürümüdür. Önceki sürümlerden en köklü farkı, şifrelemeyi isteğe bağlı bir katman olmaktan çıkarıp protokolün gövdesine gömmesidir: HTTP/3’te şifresiz bir bağlantı diye bir seçenek yoktur. Bu tasarım tercihi hem kullanıcı gizliliği hem de kurumsal savunma açısından zincirleme sonuçlar doğurur.

HTTP/3, güvenliği bağlantının üzerine sonradan eklenen bir kılıf değil, kurulumun ilk paketinden itibaren varsayılan ve zorunlu bir özellik haline getirir.

QUIC Neyi Değiştirir?

Geleneksel HTTPS’te önce TCP el sıkışması, ardından ayrı bir TLS el sıkışması yapılır; bu iki aşama gecikme yaratır. QUIC, taşıma kurulumu ile şifreleme anlaşmasını tek bir el sıkışmada birleştirir ve daha önce görüşülmüş bir sunucuya bağlanırken sıfır tur gidiş-dönüşle (0-RTT) veri göndermeye izin verir. Sonuç daha hızlı bir bağlantıdır, ama 0-RTT verisi tekrar saldırılarına açık olduğu için bu erken veri yalnızca yeniden gönderilmesi zararsız istekler için kullanılmalıdır.

QUIC ayrıca bağlantıyı IP adresine değil, bir bağlantı kimliğine (connection ID) bağlar. Kullanıcı Wi-Fi’den mobil ağa geçtiğinde bağlantı kopmadan taşınır. Bu, kullanıcı deneyimi için iyi olsa da, IP tabanlı oturum izleme ve engelleme yapan savunma araçları için bir kör nokta yaratır.

Savunma Tarafındaki Görünürlük Sorunu

HTTP/3’ün en pratik güvenlik etkisi, ağ görünürlüğünün azalmasıdır. Trafik UDP’nin 443 numaralı portu üzerinden ve baştan sona şifreli aktığı için, TCP akışlarını çözümlemeye alışkın birçok denetim aracı HTTP/3 oturumlarının içine bakamaz. TLS el sıkışmasında görünen sunucu adı bilgisi (SNI) dahi Şifreli İstemci Merhabası (ECH) ile gizlenebildiğinde, klasik imza tabanlı denetim büyük ölçüde işlevsiz kalır. Bu nedenle birçok kurum, denetim yeteneği olgunlaşana kadar sınır güvenlik duvarında UDP/443’ü kapatarak istemcileri HTTP/2’ye geri düşürmeyi tercih eder. Bu kararlar, ağın SSL/TLS protokolü yapılandırmasıyla birlikte bütüncül olarak ele alınmalıdır.

Uygulama katmanı koruması da bu geçişten etkilenir. Bir web uygulama güvenlik duvarı gelen istekleri inceleyebilmek için HTTP/3 oturumunu sonlandırıp çözmek zorundadır; QUIC’i doğrudan desteklemeyen eski WAF dağıtımları, trafiği kendisi üzerinden geçirse bile içeriği okuyamaz ve uygulamayı fiilen korumasız bırakır.

Yeni Saldırı Yüzeyi

Her yeni protokol kendi zafiyet sınıfını getirir. QUIC uygulamalarında bağlantı kurulumunu suistimal eden hizmet dışı bırakma yöntemleri, amplifikasyon riskleri ve durum yönetimindeki hatalar gözlemlenmiştir. Ayrıca UDP tabanlı olması, bazı taşıma katmanı yansıtma saldırıları için yeni zeminler açar. Bir HTTP/3 uç noktasının gerçek dünyadaki dayanıklılığını görmek, ancak hedefli bir web uygulama sızma testi ile mümkün olur; protokolün yeni olması, denetimin kapsam dışı bırakılmasının gerekçesi olamaz.

Kurumsal Yol Haritası

HTTP/3’e geçiş, güvenlik ekibinin denetim ve günlükleme yeteneklerini protokolle birlikte güncellemesini gerektirir. Uç noktaların QUIC destekli WAF arkasına alınması, UDP/443 trafiğinin akış düzeyinde izlenmesi ve 0-RTT ile ECH gibi özelliklerin bilinçli yapılandırılması bir bütün olarak planlanmalıdır. Privia Security, bu geçişin mimari düzeyde doğru kurgulanması için altyapı ve mimari gözden geçirme hizmetiyle destek verir.