API шифрлөө жана коргоо: TLS, HSTS, PFS, сырларды айлантуу

1) Коркунучтарды жана максаттарды сүрөттөө

MitM кол API, жол кармоо, downgreed кол салуу, жасалма токендер, ачкычтардын агып жана узак мөөнөттүү сырларды кыянаттык менен. Коргоо максаттары:

Купуялуулук жана бүтүндүк (TLS 1. 3 + күчтүү шифрлер).
Downgrade/stripping коргоо (HSTS, тыюу салынган нускалары/шифрлер).
компромисске зыян азайтуу (PFS, кыска TTL, тез айлануу).
Кардардын/кызматтын ишенимдүү аутентификациясы (mTLS/токендер) жана байкоого жөндөмдүүлүгү.

2) база катары TLS (Server жана кызмат-кызмат)

Версиялар жана шифрлер:

Демейки TLS 1. 3; TLS жол 1. 2 шайкештик үчүн гана. өчүрүү 1. 1/1. 0.

Артыкчылыктуу shifrosuites TLS 1. 3:

`TLS_AES_128_GCM_SHA256`, `TLS_AES_256_GCM_SHA384`, `TLS_CHACHA20_POLY1305_SHA256`.
TLS үчүн 1. 2: AES-GCM/ChaCha20 жана ECDSA/RSA кол менен ECDHE гана (мисалы, 'ECDHE-ECDSA-AES128-GCM-SHA256').

Ачкычтар жана сертификаттар:

Server ачкычтар: ECDSA P-256/P-384 (тез жана кыска) же RSA 2048 +/3072.
mTLS үчүн кардар ачкычтары: ECDSA P-256; өз CA же төлөм HSM/KMS аркылуу берүү.
OCSP stapling кирет, жакшы желеги менен Must-Staple, жана ALPN (HTTP/2/3).

PFS (Perfect Forward Secrecy):

Эфемердик алмашуу (ECDHE) менен камсыз кылынат - сервердин ачкычы агып кетсе да, мурунку сессияларды чечмелөө мүмкүн эмес.
Статикалык DH/RSA-негизги келишимди мажбурлап өчүрүү.

Заманбап толуктоолор:

ECH (Encrypted Client Hello), фронт/CDN тарабынан колдоого алынса, SNI жашырат.
HTTP/2/3 гана күчтүү шифрлер менен; корголбогон HTTP тыюу, HTTPS боюнча redirekt.

3) TLS-stripping каршы HSTS

HTTP Strict Transport Security тамыр домени жана поддомендер боюнча киргизиңиз:


Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

Доменди HSTS preload тизмесине жайгаштырыңыз.

Жарыялоонун алдында тууралыкка көз салыңыз (артка кайтаруу кыйын).

4) өз ара аутентификация: mTLS жана/же токендер

микросервис/ички API ортосунда mTLS: эки тараптуу күбөлүктөр, кызмат тор аркылуу автоматтык айлануу (Istio/Linkerd) же өз PKI.

API кардарлар (мобилдик/өнөктөш): Токендер (OAuth2/OIDC, JWT), жогорку тобокелдик үчүн кошумча mTLS.

Коомдук фронттор үчүн: TLS + түзмөк/DPoP менен байланышкан кыска мөөнөттүү OAuth2/OIDC токендер.

5) Сертификаттарды жана жашоо циклин башкаруу

ACME-автоматташтыруу (мисалы, Let's Encrypt/уюштуруу CA) мөөнөтү аяктаганга чейин 30 күн автоматтык жаңыртуу менен.

Кыска өмүр күбөлүктөрү (≤ 90 күн) + мониторинг мөөнөттөрү, алерта жана канарейка деплой пакеттери.

борборлоштурулган PKI: тамыр/аралык CA, CRL/OCSP, аудит чыгаруулар жана кайра чакыртып алуу.

nginx үлгүсү (фрагмент):

nginx ssl_protocols TLSv1. 3 TLSv1. 2;
ssl_ciphers TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256:TLS_CHACHA20_POLY1305_SHA256;
ssl_prefer_server_ciphers on;
ssl_ecdh_curve X25519:P-256:P-384;
ssl_stapling on; ssl_stapling_verify on;
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

6) Сырларды айлантуу: принциптери жана үлгүлөрү

Ротациянын максаттары: "жарылуу радиусун" чектөө, кыянаттык менен пайдалануу убактысын азайтуу, үзгүлтүксүз релиздерди камсыз кылуу.

Негизги эрежелер:

Жашыруун менеджерде гана сыр сактоо (KMS/Vault/Cloud SM). Git/сүрөттөрдө эч кандай сыр жок.
Кыска TTL жана автоматтык айлануу: Кол тамга ачкычтары, DD сырсөздөрү, провайдерлердин API ачкычтары.
Double Post (dual-key window): Эски жана жаңы ачкычтар бир эле учурда жылдыруу мезгилинде активдүү.
Версиялоо + kid (JWT/JWKS үчүн), эски токендерди валидациялоо үчүн "грейс" терезеси.

Дайыма эмне айланат:

JWT-ачкычтар (кол коюу/шифрлөө), HMAC-вебхуктар жана callback's сырлары, Паролдор/DD эсептер, кэш-коддор (Redis), CI/CD токендери, Провайдерлердин сырлары (KYC/AML, төлөмдөр, SMS/e-mail), SSH-ачкычтар автоматтык.

Пландан тышкаркы ротация триггерлери: агып кетүүдөн шектенүү, кирүү менен кызматкерлерди бошотуу, жеткирүүчүнү алмаштыруу, жөнгө салуучу талаптардын.

7) JWT/JWKS: коопсуз Roller Overlay

Учурдагы жана келечектеги ачкыч менен JWKS endpoint жарыялаңыз ('kid' милдеттүү).

Айлануу тартиби:

1. жаңы ачкычын түзүү → "экинчи" катары JWKS кошуу.

2. Кол коюучуларды жаңыртуу → жаңы токендерди жаңы ачкыч менен чыгаруу.

3. TTL эски токендер күтүү → JWKS эски ачкычын алып салуу.

Кыска TTL белгилерин орнотуу (мисалы, 5-15 мүнөт) + кошумча текшерүү менен refresh агымдары.

8) Жашыруун башкаруу иш жүзүндө

KMS + envelope encryption: HSM/KMS башкы ачкычы, маалыматтар "оролгон" DEK менен шифрленген.

Vault/Cloud Secret Manager: БДга динамикалык кред (TTL менен эсептөөлөрдү чыгаруу), мезгилдүү ротация.

Kubernetes: External Secrets/Secrets Store CSI; etcd шифрлөө; RBAC; сырларды жазууга тыюу салуу.

Ролдорго жетүү: IAM/ABAC, минималдуу артыкчылыктар принциби, аппараттык чек аралар (HSM, TPM).

Толук аудит: ким, эмне, качан, эмне үчүн окудум/өзгөрттүм.

9) периметри ичинде транспорттук коргоо

"Ички тармакка" ишенбеңиз: бардык жерде TLS/mTLS (zero-trust).

Service mesh күбөлүктөрдү автоматташтырат, кайра баштоо жана айлануу, байкоо (mTLS демейки).

TLS терминдөөлөрүн минималдаштыруу: же edge + шифрленген чыгыш-батыш, же толук шифрлөө.

10) TLS үстүнөн API коопсуздук саясаты

Rate limiting/DoS-коргоо, Webhook кол текшерүү (HMAC жашыруун айлануу менен).

Content-Security-Policy/Referrer-Policy/X-Content-Type-Options для фронта.

критикалык endpoint's үчүн mTLS (төлөмдөр, администратор), IP allow-list өнөктөштөр боюнча.

Replay-коргоо: timestamp + кол коюлган суроо-nonce, терезелер 5 мүнөттөн ашык эмес.

11) Мониторинг жана тесттер

TLS байкоо: параметрлер версиялары/шифрлери, downgread аракеттери үчүн алерттери, кол алышуу ийгиликсиздигинин өсүшү.

Сканерлер (CI/CD жана үзгүлтүксүз өндүрүштө): колдогон шифрлерди, сертификаттарды, HSTS, OCSP текшерүү.

Chaos/DR-машыгуу: күбөлүк мөөнөтү, жашыруун менеджердин кулашы, кол тамга ачкычын компромисске - жооп пландарын текшерүү.

12) жооп тартиби

Ачкычтын компромисстери: сертификатты дароо кайтарып алуу/JWKSтен ачкычты алып салуу, резервдик, токендерди мажбурлап калыбына келтирүү.

Узартуусуз аяктоо: убактылуу деградация (ички трафик гана), сертификаттарды автоматтык түрдө кайра орнотуу.

Окуя отчету: таймлайн, таасир субъекттер, техникалык. майда-чүйдөсүнө чейин, түзөтүү чаралары.

13) Чек тизме тез текшерүү (prod-ready)

Гана TLS 1. 3 (+ 1. 2 legasi үчүн), шифрлердин катуу тизмеси.
HSTS с `preload`, OCSP stapling, ALPN.
ECDHE үчүн PFS; ECDSA P-256/384 же RSA 3072.
mTLS кластердин ичинде/маанилүү кызматтардын ортосунда.
JWKS + бала, кыска TTL токендер, айлануу планы.
Secrets - гана KMS/Vault, auto-айлануу DD/провайдерлер.
Auto-тактоо күбөлүктөрү (ACME), 30 күндүн ичинде Алерт.
Коопсуздук аталыштарын жана алсыз шифрлерди CI/CD текшерүү.
документтештирилген runbook 'i: айлануу, сын-пикир, окуялар.

Резюме

Ишенимдүү API коргоо TLS 1 айкалышы болуп саналат. 3 + HSTS + PFS милдеттүү минималдуу жана жетилген ачкычтарды жана сырларды башкаруу жараяндар болуп саналат. Кызматтардын ортосунда mTLS кошуу, KMS/Vault/mesh аркылуу чыгарууну/айланууну автоматташтыруу, ачкычтарды алмаштырууда кыска TTL жана "кош терезелерди" кармап туруу - жана сиз буюмдун жеткиликтүүлүгүн жана ылдамдыгын бузбастан, тосуу, downgread жана эскирген сырларды кыянаттык менен пайдалануу тобокелдиктерин азайтасыз.