本文研究HTTP/2协议在网页指纹（Website Fingerprinting, WF）攻击下的隐私保护潜力。网页指纹攻击能够仅从加密的HTTPS流量中推断用户访问的网页，从而在不解密的情况下泄露用户隐私。现有WF防御手段通常通过噪声、填充、延迟或流量拆分等方式重塑流量模式，但多数研究聚焦于Tor或VPN等封装协议，而较少关注应用层（即HTTP）本身提供的防御能力。为此，作者将目光投向当前广泛部署的HTTP/2协议，探索其内置特性在客户端和服务器端实现已知防御策略的可能性。具体而言，文章展示了如何利用HTTP/2特性在客户端模拟HTTPOS、LLaMA、FRONT、Tamaraw等防御，在服务器端模拟ALPaCA和Tamaraw等防御。此外，作者发现HTTP/2的主动资源推送、多路复用和流量控制等机制，为在两端部署轻量级且有效的防御提供了尚未被充分发掘的空间。为了系统评估这些防御，文章提出了一套统一的评估蓝图：首先针对每个数据集校准防御参数，然后综合运用实际攻击、信息论泄漏估计和开销测量。该框架能够为每种防御识别出最强超参数调优的指纹识别模型，并利用两种信息论泄漏估计器评估防御带来的剩余不确定性，同时权衡防御的隐私保护效果与性能开销。实验结果表明，HTTP/2的应用层特性确实能够以较低开销提供有意义的隐私防护，为未来在真实网络环境中部署网页指纹防御提供了新思路。本文适合对流量分析防御、HTTP协议安全及隐私增强技术感兴趣的研究人员和网络安全工程师阅读。

本文研究了HTTP/2 Server Push和Signed HTTP Exchange（SXG）这两个Web性能特性对同源策略（SOP）的安全影响。SOP是Web安全的基础机制，旨在防止跨源攻击。然而，HTTP/2 Server Push和SXG引入了一种新的源（origin）概念，即基于TLS证书中的SubjectAlternativeName（SAN）列表的HTTP/2权威（authority），这比传统的基于URI的SOP更宽松。这种源约束的放松，结合不相关域名间广泛使用的共享证书，带来了严重的安全风险，允许攻击者绕过SOP保护。作者提出了两种新颖的攻击向量：CrossPUSH和CrossSXG。CrossPUSH利用HTTP/2 Server Push在跨源响应中注入内容，而CrossSXG则利用SXG中签名的HTTP交换来篡改跨源响应。这些攻击允许路径外的攻击者在共享证书列出的所有域名上执行广泛的跨源Web攻击，包括任意跨站脚本（XSS）、Cookie操纵和恶意文件下载。作者通过测量揭示了这些威胁的实用性和普遍性，发现广泛使用的Web浏览器（如Chrome和Edge）以及知名网站（包括Microsoft）存在漏洞。他们已向受影响的厂商负责任地披露了发现，并收到了华为、百度、微软等的确认。本文为Web安全社区提供了关于HTTP/2新特性安全风险的重要见解，并强调了重新审视SOP实现的必要性。