Overview

Chiave pubblica OHTTP

Questo endpoint fornirà la configurazione della chiave pubblica OHTTP, come specificato in RFC 9458, che verrà utilizzata dal client per criptare la richiesta OHTTP.

GET https://safebrowsingohttpgateway.googleapis.com/v1/ohttp/hpkekeyconfig?key=<API key>

La chiave API riportata sopra non è strettamente necessaria; il server non varia la chiave pubblica OHTTP in base alla chiave API fornita. Ai client è consentito verificare questo fatto utilizzando diverse chiavi API valide per accedere a questo endpoint o non usando nessuna chiave API e verificando che la risposta contenga la stessa chiave pubblica OHTTP. Tuttavia, per semplificare il debug, è consigliabile utilizzare una chiave API, che consente ai client di visualizzare statistiche come il numero di richieste nella console Google Cloud. Se il client intende fornire una chiave API, consulta questa documentazione per informazioni su come configurare le chiavi API.

Come indicato nella sezione Consigli sulla privacy, al fine di raggiungere gli obiettivi di coerenza delle chiavi, consigliamo ai fornitori client di configurare un'infrastruttura di distribuzione delle chiavi centralizzata per recuperare la chiave da questo endpoint e successivamente distribuirla alle applicazioni client.

In base alle linee guida sulla gestione delle chiavi, le chiavi vengono ruotate regolarmente sul server. I client dovrebbero aggiornare la chiave, ovvero recuperare e aggiornare di tanto in tanto la copia locale della chiave per evitare errori di decrittografia.

I client dovrebbero aggiornare (recuperare e aggiornare) la chiave pubblica una volta al giorno. Se è in uso un meccanismo di distribuzione centralizzato, questo dovrebbe assicurarsi di recuperare e distribuire le chiavi una volta al giorno.

Richiesta incapsulata OHTTP

Questo endpoint gestisce la richiesta OHTTP inclusa nel corpo HTTP della richiesta POST, eseguendo la decrittografia della richiesta, e successivamente cripta la risposta OHTTP in modo che venga inoltrata a Relay nella risposta HTTP. Il client deve includere l'intestazione della richiesta Content-Type, ad esempio message/ohttp-req nella richiesta POST HTTP.

POST https://safebrowsingohttpgateway.googleapis.com/v1/ohttp:handleOhttpEncapsulatedRequest?key=<API key>

NOTA:in base alle indicazioni su RFC, codifica la richiesta interna (consulta la documentazione V5 per informazioni su come creare una richiesta di Navigazione sicura) utilizzando il protocollo HTTP binario, RFC 9292.

Esempio di implementazione lato client

        auto ohttp_key_cfgs = quiche::ObliviousHttpKeyConfigs::ParseConcatenatedKeys(std::string public_key);
        auto key_config = ohttp_key_cfgs->PreferredConfig();
        auto public_key = ohttp_key_cfgs->GetPublicKeyForId(key_config.GetKeyId())
        auto ohttp_client = quiche::ObliviousHttpClient::Create(public_key, key_config);

    quiche::BinaryHttpRequest::ControlData bhttp_ctrl_data{
      .method = "POST",
      .scheme = "https",
      .authority = "safebrowsing.googleapis.com",
      .path = "/v5/hashes:search?key=<API key>&hashPrefixes=<HASH prefix 1>&hashPrefixes=<HASH prefix 2>",
    };
    quiche::BinaryHttpRequest bhttp_request(bhttp_ctrl_data);

      auto bhttp_serialized = bhttp_request.Serialize();
      auto ohttp_request = ohttp_client.CreateObliviousHttpRequest(*bhttp_serialized);
      //  Client must include this in POST body, and add `Content-Type` header as "message/ohttp-req".
      auto payload_include_in_post_body = ohttp_request.EncapsulateAndSerialize();

      auto ctx = std::move(ohttp_request).ReleaseContext();
      auto ohttp_response = ohttp_client.DecryptObliviousHttpResponse("data included in body of http_response", ctx);

      auto bhttp_response = BinaryHttpResponse::Create(ohttp_response.GetPlaintextData());
      if (bhttp_response.status_code() == 200) {
        auto http_response = bhttp_response.body();
        auto response_headers = bhttp_response.GetHeaderFields();
      }