HTTP Request/Response 簽名標准

Question

我想簽署 HTTP 請求和響應的負載。 簽名應駐留在 header 中。簽名機制不應要求對現有有效負載結構進行任何更改。

主要用例是不可否認性。

有很多自定義方法可以做到這一點，但我正在尋找一個標准。

如果可能，應該支持簽名驗證，而不必手動為每個應用程序播種其他應用程序的公鑰（公鑰基礎設施與 SSL 證書一起工作的方式）

是否有執行此操作的現有標准？

Answer 1

是的，有一個 IETF 草案簽署 HTTP。

https://datatracker.ietf.org/doc/draft-ietf-httpbis-message-signatures/

關於 PKI 的問題，您可以在簽名的標頭中進行證書分發，因此如果您確實擁有密鑰的信任根，則無需復制各個公鑰。