TLS, HTTPS og certifikathåndtering på CDN'et

Moderne CDN'er afslutter TLS ved kanten, hvilket betyder, at det krypterede HTTPS-håndtryk afsluttes ved det nærliggende PoP i stedet for ved din fjerntliggende oprindelsesserver.

• Kortere håndtryksrundture giver hurtigere sikre forbindelser
• Aflaster oprindelsesserveren for CPU-tung kryptografi
• Muliggør funktioner på kanten som HTTP/2 og 0-RTT

Et TLS-håndtryk forhandler krypteringsnøgler, før data begynder at flyde. Det koster rundture, så det er langt hurtigere at udføre det ved en nærliggende kant end ved en fjern oprindelsesserver. Genoptagelse af en session kan springe trin over ved gentagne besøg.

CDN'er tilbyder typisk administrerede certifikater, som udstedes og fornys automatisk for dig (ofte via en ACME-baseret certifikatudsteder), eller lader dig uploade dit eget certifikat og din private nøgle.

• Administreret: fornyelse uden manuel indsats og mindre risiko for driftsstop på grund af udløb
• Brugerdefineret: nødvendigt for EV-certifikater eller bestemte krav til overholdelse

Server Name Indication (SNI) lader én kant-IP-adresse betjene mange domæner, hvert med sit eget certifikat. Klienten sender værtsnavnet under håndtrykket, så kanten vælger det rigtige certifikat.

Når du uploader et brugerdefineret certifikat, angiver du hele certifikatkæden og den private nøgle. Medtag altid mellemcertifikater, så klienterne kan opbygge tillidsstien.

Du bør tvinge alle forespørgsler til HTTPS. Konfigurer CDN'et til at omdirigere http:// til https://, så der aldrig leveres ukrypteret trafik.

• Indstil politikken for seerens protokol til redirect-to-https
• Kombiner med HSTS for stærkere garantier

HSTS fortæller browsere, at de altid skal bruge HTTPS til dit domæne i et angivet tidsrum, hvilket forhindrer nedgraderingsangreb.

Hvis TLS afsluttes ved kanten, kan CDN'et tale moderne protokoller med browseren, selv hvis din oprindelsesserver kun understøtter HTTP/1.1.

• HTTP/2: multipleksing over én forbindelse
• HTTP/3 (QUIC): kører over UDP og er hurtigere på netværk med pakketab

Trafik fra kant til oprindelsesserver bør også være krypteret. Konfigurer CDN'et til at oprette forbindelse til din oprindelsesserver via HTTPS, og valider helst oprindelsesserverens certifikat for at forhindre man-in-the-middle-angreb på backend'en.

Et udløbet certifikat forårsager et fuldstændigt driftsstop. Selv med administreret fornyelse bør du overvåge udløbsdatoer og fornyelseshændelser. Udsend en alarm i god tid før udløbsvinduet.

Deaktivér forældede protokoller (TLS 1.0/1.1) og svage krypteringsalgoritmer. De fleste CDN'er tilbyder forudindstillede sikkerhedspolitikker, der kun tillader TLS 1.2+ med stærke krypteringsalgoritmer og afvejer sikkerhed mod kompatibilitet.

Du har lært, hvordan CDN'er håndterer HTTPS: de afslutter TLS ved kanten for at opnå højere hastighed, klargør administrerede eller brugerdefinerede certifikater med SNI, gennemtvinger HTTPS og HSTS, aktiverer HTTP/2 og HTTP/3 og sikrer forbindelsen til oprindelsen, samtidig med at certifikaternes udløb overvåges.