IETF117　4日目 - momokaのブログ

WEBTRANS
IRTF Open Meeting　Model-Based Insights on the Performance, Fairness, and Stability of BBR
HTTP (httpbis)
- Secondary Certificate Authentication of HTTP servers
- Request-OTR Header

WEBTRANS

WebTransportがFirefoxに入ったらしい。

IRTF Open Meeting　Model-Based Insights on the Performance, Fairness, and Stability of BBR

BBRの研究。

年表わかりやすい。ちょうど火曜日のccwgでgoogleからBBRv3の話が出たところ。

HTTP (httpbis)

notes:

HTTP Working Group Minutes - IETF 117 - HedgeDoc

話し終えてなくてメモれてないけど他以下の三つの話もあった。

Compression Dictionary Transport - Patrick Meenan
HTTP Availability Hints - Mark Nottingham
HTTP Cache Groups / An HTTP Cache Invalidation API - Mark Nottingham

Secondary Certificate Authentication of HTTP servers

スライド

https://datatracker.ietf.org/meeting/117/materials/slides-117-httpbis-secondary-certificate-authentication-of-http-servers

Apple からの発表　（akamai, M. Bishop先生が共著者）

使われ方。

今回新しく出てきた、proxyとして使う方法。

前回これを標準化しようとした時複雑になりすぎて無理だったから、unprompted server authentication にのみ対応。

考えないといけないこと

- SETTINGS を使う必要はあるか、

- client prompt certificates は？

　複雑だし、プライバシーの問題が考えられるので今回が考えない。（例えば、サーバが候補を提示してクライアントが選ぶ形式だと、サーバに悪意があった場合クライアントがどのドメインに興味があるかバレてしまう。）

adoptionするかどうか？

20yes, 4no

akamai, Cloudflare からやりたいという意見がでた。

クライアント（発表者以外のブラウザはfirefox, chrome）側からはそんなに意見がなかった。

Martin Thomson (MT): Didn’t go either way. Want to spend more time clarifying what the use cases are, more discussion of that - current discussion was more in details.

David Schinazi (chat) : I'm in another session so I can't come to the mic but I'm supportive of this work

Martin Thomson(chat): I would infer from this that Apple wants to do the hybrid proxy deployment (iCloud Private Relay has forward proxies that are also reverse proxies...)

（あまりまだ理解できてないけど、すごいサーバ側には魅力的だけど、ブラウザ側的には他の機能と比べたら優先度低そうな気がした。）

クライアントから認証する話は、今回しないけど、それってそもそもunprompted auth じゃないって話を人がしてた。

Request-OTR Header

Braveからの提案。

シークレットブラウザモードじゃない時に、サイト側がブラウザに履歴に載せないでって教える機能。

したの意見に自分は結構同意した。

Dennis Jackson (DJ): Interesting. Concern is that it is not as effective as Private Browsing, and users could think this is actually secure, while local history could save it. Any way to avoid telling user about this, avoid confusion? Otherwise have complicated user education issue. Concerned that this is pitched as privacy measure, that’s not effective and might be actively harmful.