HTTP inconsciente

Oblivious HTTP ( OHTTP ) es un protocolo de red de la IETF diseñado para permitir transacciones HTTP anónimas a través de Internet . ^{[ 1 ]} Su objetivo es permitir que un usuario envíe una solicitud HTTP a un servidor web sin permitir que ninguna entidad vea el contenido de la solicitud ni la dirección IP del remitente , ya que la dirección IP podría estar vinculada a la identidad del remitente. ^{[ 2 ]} OHTTP está documentado en el RFC 9458 , publicado en enero de 2024 por autores afiliados a Mozilla y Cloudflare . ^{[ 3 ]} El RFC afirma que "Oblivious HTTP es más simple y menos costoso que sistemas más robustos, como Prio o Tor , que pueden proporcionar mayores garantías a costos operativos más altos". ^{[ 3 ]}  

Algunas empresas tecnológicas y otros proveedores de servicios en línea han implementado OHTTP para mejorar la privacidad de los usuarios en Internet, generalmente para casos de uso específicos como la recopilación de métricas de software de los dispositivos del cliente, la recopilación de datos de usuario para publicidad dirigida o el procesamiento de solicitudes de clientes para el uso de servicios de inteligencia artificial . Las protecciones de privacidad del protocolo OHTTP se basan en dos entidades separadas que gestionan diferentes aspectos de cada solicitud del cliente, por lo que los proveedores de servicios interesados ​​en implementar OHTTP generalmente se asocian con una empresa diferente. Por ejemplo, Cloudflare y Fastly proporcionan servicios de retransmisión OHTTP, y Apple , Google , Meta y Mozilla se asocian con uno o ambos servicios de retransmisión para sus implementaciones de OHTTP.

HTTP es la base de la comunicación para la World Wide Web . Por defecto, HTTP expone la dirección IP de un usuario de un sitio web al operador del sitio web, lo que puede permitir al operador recopilar un perfil de información sobre el usuario. ^{[ 3 ]} OHTTP es uno de los varios protocolos diseñados para proteger la privacidad de los usuarios que realizan solicitudes a servidores web, utilizando el principio de partición de privacidad (también llamado desacoplamiento) para ocultar las direcciones IP. ^{[ 4 ] [ 5 ]} OHTTP está diseñado para transacciones simples, como el envío de información de análisis web , en lugar de la navegación web de propósito general. ^{[ 6 ] [ 7 ]} La mayoría de las implementaciones de OHTTP involucran una aplicación , como una aplicación móvil , preconfigurada para conectarse a un servicio OHTTP para un tipo particular de transacción. ^{[ 8 ]}

OHTTP protege la privacidad del usuario mediante la combinación de cifrado de mensajes y servidores proxy especialmente diseñados . Primero, el cliente utiliza cifrado de clave pública híbrido (HPKE) para encapsular el contenido de una solicitud HTTP. ^{[ 9 ]} Luego, el cliente envía la solicitud cifrada a un relé, que puede obtener la dirección IP del cliente pero no puede descifrar el mensaje. ^{[ 3 ]} El relé reenvía el mensaje cifrado a una puerta de enlace, que puede descifrar el mensaje pero no puede obtener la dirección IP del cliente. ^{[ 3 ]} La puerta de enlace envía la solicitud descifrada a un servidor para su procesamiento. ^{[ 3 ]} Todo el tráfico entre el origen, el relé, la puerta de enlace y el servidor de destino se envía a través de HTTPS para evitar que terceros analicen o intercepten el contenido del mensaje. ^{[ 10 ]}

Dado que ni el relé ni la puerta de enlace conocen la dirección IP de origen ni el contenido de una solicitud, el relé y la puerta de enlace tendrían que confabularse para correlacionar los mensajes y desanonimizarlos. ^{[ 9 ]} Si alguno de los operadores es de confianza, se preserva la privacidad. Sin embargo, si ambos operadores se confabulan, pueden comprometer las garantías de privacidad de OHTTP. ^{[ 9 ]} La puerta de enlace y el servidor de destino suelen ser operados por la misma organización, mientras que el relé suele ser operado por una organización diferente para evitar la confabulación. ^{[ 11 ]} Un análisis realizado por NCC Group de una implementación de OHTTP también señaló que, para reducir el riesgo de análisis de tráfico y otros ataques, "El despliegue de OHTTP requiere una gestión cuidadosa de la rotación de claves , la limitación de velocidad y las tolerancias frente a los retrasos de la red". ^{[ 12 ]}

Las aplicaciones cliente configuradas para usar OHTTP, como las diseñadas para usar OHTTP para ciertas llamadas a la API , no necesitan averiguar si OHTTP está disponible en un servidor. ^{[ 8 ]} En otros casos, si un operador de servidor quiere informar a los clientes que un servicio admite OHTTP, la RFC 9540 (febrero de 2024) define un parámetro opcional de registro de recursos DNS . ^{[ 8 ]} Este mecanismo permite que un cliente descubra, después de enviar una solicitud DNS, que puede enviar solicitudes OHTTP, aunque la solicitud DNS inicial podría exponer la dirección IP del cliente al servidor si no está oculta de otra manera. ^{[ 8 ]} 

Cloudflare lanzó un servicio de retransmisión OHTTP en 2022, llamado Privacy Gateway. ^{[ 13 ] [ 9 ]} Flo , una aplicación para el seguimiento de los ciclos menstruales , utiliza el servicio OHTTP de Cloudflare para ofrecer un "Modo anónimo" que permite introducir datos en Flo sin proporcionar información de identificación personal . ^{[ 14 ]}

Google contrató a Fastly en 2023 para que le proporcionara un relé OHTTP para implementar su tecnología experimental de publicidad anónima. ^{[ 15 ] [ 16 ]} Específicamente, Google usó OHTTP para ayudar a garantizar el k -anonimato para su iniciativa Privacy Sandbox . ^{[ 17 ]} Google también usa un relé OHTTP de Fastly como parte de su servicio Google Safe Browsing . ^{[ 18 ] [ 19 ]} Google ofrece una API Safe Browsing Oblivious HTTP Gateway que permite a las aplicaciones cliente, como los navegadores web , verificar si una URL está en la lista de sitios web no seguros de Google sin revelar la dirección IP del solicitante a Google. ^{[ 20 ]}

En 2023, Mozilla comenzó a utilizar el servicio de retransmisión OHTTP de Fastly como parte de la recopilación de métricas de rendimiento de Firefox sin recopilar información de identificación sobre usuarios individuales. ^{[ 21 ] [ 22 ]}

Desde 2024, Apple utiliza OHTTP en su plataforma de computación en la nube privada para ocultar las direcciones IP asociadas con las solicitudes a las herramientas de Apple Intelligence . ^{[ 23 ]} Apple publicó soporte para OHTTP para su lenguaje de programación Swift en 2024. ^{[ 24 ]} Apple dijo en 2025 que su Búsqueda visual mejorada utiliza OHTTP como parte de su estrategia de anonimización. ^{[ 25 ] [ 26 ]}

El Grupo de Investigación de Seguridad en Internet incluye una puerta de enlace OHTTP en Divvi Up , un servicio que permite a los suscriptores recopilar métricas de software de los dispositivos de los usuarios mientras recopila información de identificación mínima sobre los usuarios. ^{[ 11 ]}

A partir de 2025, Meta Platforms utiliza OHTTP en su funcionalidad de "Procesamiento privado" para las herramientas de Meta AI , incluyendo permitir que los usuarios de WhatsApp soliciten resúmenes de mensajes sin exponer la dirección IP del solicitante a Meta. ^{[ 27 ]} Esto utiliza el servicio de retransmisión OHTTP de Fastly. ^{[ 12 ]}

Un grupo de trabajo de la IETF, Oblivious HTTP Application Intermediation (OHAI), es responsable de trabajar en los estándares OHTTP y colaborar con grupos que trabajan en protocolos relacionados. ^{[ 1 ]}

El protocolo Oblivious DNS over HTTPS (ODoH) permite realizar solicitudes del Sistema de Nombres de Dominio (DNS) utilizando principios arquitectónicos similares a los de OHTTP ( RFC 9230 , junio de 2022). ^{[ 10 ]} 

Algunas personas utilizan servicios de red privada virtual (VPN) para abordar las preocupaciones sobre la privacidad, pero esto permite que una sola entidad vea información de identificación sobre el usuario y toda su actividad que pasa a través de la VPN. ^{[ 4 ]} Tor es una tecnología independiente para proteger la privacidad del usuario en la web al desacoplar al remitente del receptor a través de al menos tres saltos intermedios. ^{[ 4 ]}

MASQUE (Multiplexed Application Substrate over QUIC Encryption) es un conjunto diferente de protocolos para mejorar la privacidad de los usuarios que realizan solicitudes web. ^{[ 28 ]} Se puede utilizar para la navegación web. ^{[ 7 ]} Por ejemplo, el servicio iCloud Private Relay de Apple utiliza MASQUE. ^{[ 29 ]}

• proxy anónimo
• CONEXIÓN HTTP
• CAPTCHA imposibles de rastrear