Cloudflare, OHTTP Gateway'nin kapalı betasını yayınladı

Özel HTTP İsteklerine Giden Yönetimli Yol

Cloudflare, IETF standardına dayalı yönetimli bir hizmet olan OHTTP Gateway'nin kapalı betasını yayınladı; bu hizmet, uygulama backend'lerinin kullanıcı IP adreslerini görmeden HTTP isteklerini almasını sağlar. OHTTP, istemci için görünür gizliliği, istek işlemesini iki bağımsız bileşenle ayırır. Relay şifrelenmiş istekleri iletir ve istemci tanımlayıcılarını uygulama sunucusundan gizler. Gateway istekleri kapsüllerden çıkarır ve yanıtları kapsüller; bu da sunucuya normal HTTP işleme olanağı tanır.

Tasarım, hiçbir tarafın aynı anda hem istemci tanımlayıcılarını hem de istek içeriğini görmesini engellemek içindir. Relay, IP adresi veya TLS parmak izi gibi tanımlayıcıları görür ancak isteğin açık metnini görmez. Gateway ve uygulama sunucusu içeriği işler ancak nihai kullanıcının ağ kimliğini elde etmezler. Cloudflare'e göre Gateway, özellikle CDN'si veya Workers'ın arkasında barındırılan uygulamalara ve üçüncü taraf relay'den gelen trafiği alan hizmetlere yardımcı olur. Kapalı beta self-servistir; ücretli zone ekleme ise bu sezonda planlanmaktadır.

Relay ve Gateway Varyantları

Cloudflare, OHTTP relay ürünü olan Privacy Gateway'i 2022'de yayınlamıştı ve şimdi Cloudflare OHTTP Relay olarak yeniden adlandırıyor. Uygulama sunucuları Cloudflare dışında olan geliştiriciler, Cloudflare'ün relay'sini kullanabilir ve kendi gateway'lerini çalıştırabilir. Sunucularını Cloudflare ile koruyanlar ise yeni yönetimli Gateway'yi bağımsız bir üçüncü taraf relay ile birlikte kullanacaklar. Bu şekilde OHTTP için gerekli güven ayrımı korunur.

Cloudflare, Flo Health'in Anonymous Mode'unu ve Apple'ın Private Cloud Compute'unu OHTTP'nin halihazırda mevcut kullanım örnekleri olarak gösteriyor. Ayrıca dış relay'den gelen isteklerin alınmasını, bunlar arasında Apple'ın LiveCallerID SDK'sıyla ilişkili trafiği, Gateway kullanım senaryosu olarak belirtiyor.

Edge Dağıtımları İçin Tasarlandı

Hizmet, Cloudflare'ün küresel edge ağına dağıtılmıştır ve otomatik olarak ölçeklenir. Cloudflare'e göre, anycast mimarisi relay'den Gateway'ye gecikmeyi azaltır, CDN ile birlikte kullanım ise Gateway'den origin'e gecikmeyi azaltır. Gateway, standart ve chunked OHTTP'yi destekler; daha iyi verimlilik için chunked işleme önerilir. Zone üzerinden etkinleştirilebilir, erişim /.well-known/ohttp-gateway adresinde bulunur. Hizmet OHTTP isteklerini işler ve şifrelenmiş yanıtları döndürür; OHTTP olmayan trafik ise Gateway'den geçmeden origin'e gider.

Cloudflare, istemcilerin istekleri şifrelemek için ihtiyaç duyduğu HPKE anahtarlarını yönetir ve ortak anahtar yapılandırmalarını sunar. Cloudflare Access, şifre çözmeden önce çalışır ve trafiği mutual TLS, statik hizmet kimlik bilgileri veya dış mantık ile doğrular. Zone bağlama, Gateway'nin ilişkisiz alan adlarına karşı kullanılmasını engeller. OHTTP gizlilik modelinin ihtiyatlı bir şekilde ihlal edilmesini önlemek için Gateway, Cloudflare Workers'tan veya Cloudflare üzerinde proxy yapılmış ana bilgisayarlardan gelen istekleri şifre çözmez.

Dağıtım Gereksinimleri ve Sınırlamalar

Yönetimli Gateway isteyen geliştiricilerin yine de bir OHTTP istemcisi oluşturması ve kendi bağımsız relay'lerini çalıştırması gerekir. Cloudflare'e göre bu ayrım, relay sağlayıcının istemci tanımlayıcılarının kayıtlarını tutmadığını denetlenebilir şekilde taahhüt etmesine olanak tanır; bu da kullanıcıların şifrelenmiş istekleriyle ilişkilendirilme riskini azaltır. OHTTP ağ tanımlayıcılarını korur ancak istek gövdesinin içeriğini değiştirmez. Bu nedenle geliştiricilerin e-posta adresleri veya kullanıcı adları gibi kişisel tanımlayıcıları oraya yerleştirmemeleri gerekir. Cloudflare ayrıca canlı OHTTP dağıtımlarını test etmek ve sorun gidermek için pvcli istemcisini sağlar.