怎麼看新HTTP協議有可能造成成資安嚴重問題

Merlin是一款跨平臺後脅迫（Post-Exploitation）HTTP/2控制與命令工具，能提供使用者以既存工具無法理解或是檢查的HTTP/2協議，執行***測試或是紅隊演練來進行網絡偵測。Merlin能輕易的執行跨平臺編譯，在任何平臺上執行，實現對主機的命令和控制（Command and Control）。HTTP/2是RFC 7540中新批准的協議，目的是用來解決HTTP/1.x存在的問題，並加入一些新功能以支持現代網頁應用程序操作，由於HTTP/2是一種二元協議，數據更壓縮、易解析，並且人類難以在沒有工具的情況下閱讀。HTTP/2的RFC規範需要使用Perfect Forward Secrecy（PFS）加密套件，並建議設定所有非使用PFS加密套件的服務都爲黑名單。使用PFS加密套件之後，有心人士就無法單用服務器私鑰破解流量，同時還需要客戶端的對話密鑰信息才行。而Merlin是一個跨平臺的後脅迫框架，使用HTTP/2協議通訊以規避偵測，官方提到，HTTP/2是較新的協議，請求使用PFS加密套件，而這些套件的特性，便是難以被捕獲用來解密的密鑰材料。

Merlin由Go語言撰寫而成，由服務器與代理兩部分組成，也因爲Go語言的特性，因此兩個組件都可以經過編譯後，在任何平臺上執行，或者以像是腳本的方式執行。爲Linux或任何平臺編譯執行的Merlin服務器，可以處理來自所有爲其他平臺編譯代理的流量。Merlin的服務器組件應該在所有代理都能存取的位置執行，用戶可以使用命令行旗標配置服務器監聽的接口與端口口，所有代理都有全局唯一標識符（UUID），用戶要對特定代理髮號命令，就需要使用該標識符。而Merlin代理得利於跨平臺編譯，因此可以在任何平臺上執行，代理提供了各式配置，用戶可以從服務器調整代理休眠時間、最大重試次數、終止或是填充設定。官方提到，填充設定是以不同訊息流量大小，逃避檢查機制的偵測，使用者可以設置一個最大填充值，系統會從0到設定的最大值，隨機產生數值填充到每條訊息之後。內文來源至：勝博發愛心公益
當發生服務器失效的情況，代理會持續嘗試連接，直到到達最大重試次數纔會終止。而當代理與服務器連接通訊間，服務器突然脫機中斷，則代理會被視爲孤立狀態，當孤立狀態的代理重新連接上服務器時，則會被重新初始化。官方提到，由於許多安全技術尚未加入HTTP/2協議解析器（Dissector），因此即便擁有密鑰材料，仍然無法用來評估流量，而Merlin的特殊之處，就在於使用HTTP/2協議，以及Go程序語言的交叉編譯功能，讓用戶方便的對系統進行******測試。