HTTP/2は、テクノロジー界で一時的に注目を集めただけの存在だったかのように見えます。正式に承認された標準仕様は、2015年に大きな期待とともに公開されました。これは、1999年以来初となる、インターネットの「共通語」に対する大幅な変更でした。
そして、突然注目を集めたときと同じように、話題は急に途絶えました。複数の著名な大学の研究者が作成・運営していた「HTTP/2 Dashboard」も、2016年末を最後に動きが止まりました。それ以来、普及率の統計は更新されていません。今では誰も話題にしなくなり、つかの間の脚光もどうやら過ぎ去ったようです。
しかし、その裏では着実に普及が進んでいました。HTTP/2はゆっくりと、しかし確実にアプリケーションスタックへ浸透しつつあります。
HTTP/2、依然としてIPv6を上回る勢い
F5は、アプリケーション、特にHTTPの各種バージョン上で動作するアプリケーションを事業の基盤としているため、HTTP/2の普及状況を注視してきました。2018年から、アプリケーションサービスの現状に関する調査でHTTP/2ゲートウェイサービスの追跡を開始しました。2018年には、回答者の40%がHTTP/2ゲートウェイを導入済みと回答しましたが、2019年には33%に低下しました。パブリッククラウドでは、回答者の19%が一部のアプリケーションにHTTP/2ゲートウェイを使用しています。また、今後1年間に導入予定のアプリケーションサービス上位5つに2年連続で入り、2019年には回答者の25%が導入を計画していました。
HTTP/2 Dashboardによると、2016年11月16日時点で、HTTP/2への対応を表明したドメインは250,000件をわずかに上回っていました。この種の情報を追跡しているNetcraftによれば、インターネット上には18億を超えるサイトがあります。W3TechsによるHTTP/2利用率の測定結果では、全Webサイトの33%となっています。インターネット上のサイトを上位100万サイトに限定すると、この数値は2016年に報告された250,000ドメインとほぼ一致します。この条件では、HTTP/2を採用しているサイトの割合は、いずれの数値もおよそ25～35%の範囲に収まるようです。
これでも普及が遅いと思われるかもしれませんが、IPv6ははるか以前から存在しているにもかかわらず、2019年1月時点で採用しているWebサイトはわずか13.4%にとどまっています。
HTTP/3の登場
そして今、内部の仕組みにさらに劇的な変更を加えたHTTP/3が登場しようとしています。HTTP/3について詳しくない方は、GoogleのHTTP-over-QUICをHTTP/3に改称するためのIETF承認済み提案をご覧ください。SPDYがHTTP/2の基盤となったのと同様に、QUICはHTTP/3の基盤です。
しかし、HTTP/2の変更が劇的だと思ったなら、驚くのはまだこれからです。
実は、QUIC、ひいてはHTTP/3はUDPをベースとしています。長年使われてきた信頼性の高いTCPに依存する方式からの、かなり抜本的な変更です。また、暗号化の要件を撤回したHTTP/2とは異なり、HTTP/3では暗号化が必須となります（もっとも、ブラウザ開発者が暗号化されたHTTP/2のみをサポートすると決めたため、HTTP/2での要件撤回は実質的に意味を持ちませんでした）。
それは確かに妥当で、崇高とさえ言える意図かもしれません。しかし、その影響はインフラストラクチャとアーキテクチャ、特にサービスプロバイダーに大きく及びます。暗号化の対象がスタックの上位層へと広がり、ほぼすべてを包含するようになることに加え、TCPからUDPへの移行によって、状況は一変します。多くのセキュリティシステムは、UDPで伝送される内容を詳細に検査することに慣れていません。UDPを利用するトラフィックの大半は、DNSやNTPなどのユーティリティサービスやインフラストラクチャサービスです。HTTP/3の新たな世界では、ペイロードを詳細に検査しないことが危険につながる可能性があります。通過する内容が悪意のあるものである可能性は十分にあるからです。ボットかもしれません。攻撃かもしれません。何であってもおかしくありません。
暗号化要件によって、「ミドルボックス」によるトラフィックの検査も難しくなります。このような検査は、アプリケーションとデータのセキュリティを維持するうえで不可欠です。トランスポート層プロトコルの変更も、問題を引き起こす可能性があります。セキュリティサービスは多くの場合、アプリケーショントラフィック（その大半はHTTP）がTCPで転送されることを前提に構築されています。TCPは、信頼性の高いコネクション型プロトコルです。UDPはデータグラム（パケット）ベースのプロトコルであり、必ずしも信頼性が高いとはいえないため、UDPへの変更は、セキュリティインフラストラクチャによるアプリケーショントラフィックの解析と分析に大きな影響を及ぼす可能性があります。
普及への長い道のり
HTTP/2が緩やかながら着実に普及を続ける一方で、HTTP/3の導入はゆっくりと進む可能性があります。結局のところ、Webの大部分は今なお従来のHTTP/1.xに依存しています。HTTP/2がHTTP/1.xを上回るまでにはしばらく時間がかかるため、インフラストラクチャとアプリケーションスタック全体をすぐに移行する可能性は低いでしょう。
セキュリティインフラへの影響もあり、セキュリティサービスプロバイダーが対応できるようになるまでは、普及が緩やかに進む可能性があります。ゼロトラストの取り組みでは、デバイスIDやレピュテーションなど、クライアントから得られるより多くのコンテキストを活用します。アプリケーションを保護するためのより包括的な戦略へとセキュリティが移行する中で、こうした取り組みが最終的に有効に働く可能性があります。ゼロトラスト技術の成熟と普及は、HTTP/3のセキュリティ上の課題に対処する手段となるかもしれません。セキュリティサービスが悪意のある攻撃者のリアルタイムでの特定に依存する度合いが高まるにつれ、ペイロードを容易に調べて悪意のある活動を検出できないことによるリスクが軽減されます。
HTTP/3のリリースは2019年夏になる見込みです。HTTP/2の普及が緩やかながら着実に進んでいることや、HTTP/3がもたらすセキュリティ上の課題を踏まえると、HTTP/3の普及には今後しばらく長く険しい道のりが予想されます。
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。