Cloudflare-ը գործարկել է կառավարվող OHTTP Gateway-ի փակ բետա

Կառավարվող ուղի դեպի մասնավոր HTTP հարցումներ

Cloudflare-ը գործարկել է OHTTP Gateway-ի փակ բետա՝ IETF-ի ստանդարտի վրա հիմնված կառավարվող ծառայություն, որը հավելվածների backend-երին թույլ է տալիս ստանալ HTTP հարցումներ առանց օգտատերերի IP հասցեները տեսնելու։ OHTTP-ն կլիենտի համար տեսանելի գաղտնիությունը բաժանում է հարցումների մշակումից երկու անկախ բաղադրիչով։ Relay-ը փոխանցում է գաղտնագրված հարցումները և թաքցնում կլիենտի նույնացուցիչները հավելվածի սերվերից։ Gateway-ը ապակապսուլավորում է հարցումները և ինկապսուլավորում պատասխանները, ինչը սերվերին թույլ է տալիս մշակել սովորական HTTP։

Դիզայնը նախատեսված է այնպես, որ ոչ մի կողմ չտեսնի միաժամանակ և՛ կլիենտի նույնացուցիչները, և՛ հարցման բովանդակությունը։ Relay-ը տեսնում է նույնացուցիչները, ինչպիսիք են IP հասցեն կամ TLS fingerprint-ը, բայց ոչ հարցման բաց տեքստը։ Gateway-ը և հավելվածի սերվերը մշակում են բովանդակությունը, սակայն չեն իմանում վերջնական օգտատիրոջ ցանցային ինքնությունը։ Ըստ Cloudflare-ի՝ Gateway-ը հատկապես օգնում է իր CDN-ի կամ Workers-ի հետևում հոսթավորված հավելվածներին և երրորդ կողմի relay-ից տրաֆիկ ստացող ծառայություններին։ Փակ բետան ինքնասպասարկվող է, իսկ վճարովի zone-ի ավելացումը նախատեսվում է այս աշնանը։

Relay-ի և Gateway-ի տարբերակները

Cloudflare-ը OHTTP relay-ի արտադրանքը՝ Privacy Gateway-ը, թողարկել է 2022 թվականին և այժմ վերանվանում է Cloudflare OHTTP Relay։ Ծրագրավորողները, որոնց հավելվածների սերվերները Cloudflare-ից դուրս են, կարող են օգտագործել Cloudflare-ի relay-ը և գործարկել սեփական gateway։ Նրանք, ովքեր սերվերները պաշտպանում են Cloudflare-ով, նոր կառավարվող Gateway-ը կօգտագործեն անկախ երրորդ կողմի relay-ի հետ։ Այսպիսով պահպանվում է OHTTP-ի համար անհրաժեշտ վստահության տարանջատումը։

Cloudflare-ը որպես օրինակ բերում է Flo Health-ի Anonymous Mode-ը և Apple-ի Private Cloud Compute-ը՝ որպես OHTTP-ի արդեն գոյություն ունեցող կիրառություններ։ Այն նաև նշում է արտաքին relay-ից հարցումների ստացումը, ներառյալ Apple-ի LiveCallerID SDK-ի հետ կապված տրաֆիկը, որպես Gateway-ի օգտագործման սցենար։

Ստեղծված է edge-տեղակայման համար

Ծառայությունը տեղակայված է Cloudflare-ի գլոբալ edge-ցանցում և ավտոմատ կերպով մասշտաբավորվում է։ Ըստ Cloudflare-ի, anycast ճարտարապետությունը նվազեցնում է ուշացումը relay-ից մինչև Gateway, իսկ CDN-ի հետ օգտագործելը՝ Gateway-ից մինչև origin ուշացումը։ Gateway-ը աջակցում է ստանդարտ և chunked OHTTP-ին; ավելի լավ կատարողականության համար խորհուրդ է տրվում chunked մշակում։ Այն կարելի է միացնել zone-ի վրա, իսկ մուտքը՝ /.well-known/ohttp-gateway հասցեում։ Ծառայությունը մշակում է OHTTP հարցումները և վերադարձնում է գաղտնագրված պատասխաններ, իսկ ոչ OHTTP տրաֆիկը գնում է դեպի origin՝ առանց Gateway-ի։

Cloudflare-ը կառավարում է HPKE-ի բանալիները, որոնք անհրաժեշտ են հաճախորդներին հարցումները գաղտնագրելու համար, և տրամադրում է հանրային բանալու կոնֆիգուրացիաները։ Cloudflare Access-ը աշխատում է գաղտնազերծումից առաջ և նույնականացնում է տրաֆիկը mutual TLS-ի, ստատիկ ծառայության հավատարմագրերի կամ արտաքին տրամաբանության միջոցով։ Zone binding-ը կանխում է Gateway-ի օգտագործումը չկապված դոմենների նկատմամբ։ OHTTP-ի գաղտնիության մոդելի խախտումը կանխելու համար Gateway-ը չի գաղտնազերծում Cloudflare Workers-ից կամ Cloudflare-ում պրոքսի արված հոսթերից եկող հարցումները։

Տեղակայման պահանջներ և սահմանափակումներ

Ծրագրավորողները, ովքեր ցանկանում են կառավարվող Gateway, դեռևս պետք է ստեղծեն OHTTP-հաճախորդ և բերեն իրենց սեփական անկախ relay-ը։ Ըստ Cloudflare-ի, այս տարանջատումը relay-ի մատակարարին հնարավորություն է տալիս ստուգելիորեն խոստանալ, որ չի ստուգի հաճախորդի նույնացուցիչների լոգերը, ինչը նվազեցնում է օգտատերերին գաղտնազերծված հարցումների հետ կապելու ռիսկը։ OHTTP-ը պաշտպանում է ցանցային նույնացուցիչները, բայց չի փոխում ներքին հարցման body-ն։ Հետևաբար, ծրագրավորողները այնտեղ չպետք է տեղադրեն անձնական նույնացուցիչներ, ինչպիսիք են էլ. փոստի հասցեները կամ օգտատիրոջ անունները։ Cloudflare-ը նաև տրամադրում է մեզ pvcli հաճախորդը՝ կենդանի OHTTP տեղակայումները փորձարկելու և վրիպազերծելու համար։