API şifrlemek we goramak: TLS, HSTS, PFS, syrlary aýlamak

1) Howplaryň we maksatlaryň suraty

MitM hüjümi, traffigi saklamak, daşarky hüjümler, bellikleri galplaşdyrmak, açarlary syzmak we uzak möhletli syrlary hyýanatçylykly ulanmak API. Gorag maksatlary:

Gizlinlik we bitewilik (TLS 1. 3 + güýçli şifrler).
Downgred/stripping goragy (HSTS, gadagan wersiýalar/şifrler).
Eglişik wagtynda zyýany azaltmak (PFS, gysga TTL, çalt aýlanmak).
Müşderini/hyzmatyny ygtybarly tassyklamak (mTLS/bellikler) we yzarlamak ukyby.

2) TLS bazis hökmünde (serwer we hyzmat-hyzmat)

Wersiýalary we şifrleri:

TLS 1. 3; TLS-e rugsat bermek 1. 2 diňe gabat gelmek üçin. Öçürmek 1. 1/1. 0.

Ileri tutulýan şifrosuites TLS 1. 3:

`TLS_AES_128_GCM_SHA256`, `TLS_AES_256_GCM_SHA384`, `TLS_CHACHA20_POLY1305_SHA256`.
TLS üçin 1. 2: AES-GCM/ChaCha20 we ECDSA/RSA goly bolan diňe ECDHE (mysal üçin 'ECDHE-ECDSA-AES128-GCM-SHA256').

Açarlar we şahadatnamalar:

Serwer açarlary: ECDSA P-256/P-384 (has çalt we gysga) ýa-da RSA 2048 +/3072.
mTLS üçin müşderi açarlary: ECDSA P-256; öz CA ýa-da HSM/KMS töleg arkaly bermek.
OCSP stapling, has gowusy Must-Staple baýdagy we ALPN (HTTP/2/3) bilen açyň.

PFS (Perfect Forward Secrecy):

Efemer alyş-çalyşlary (ECDHE) bilen üpjün edilýär - serwer açary syzsa-da, öňki sessiýalary deşifr edip bolmaz.
Statik DH/RSA-açar şertnamasyny zor bilen öçüriň.

Häzirki zaman goşmaçalary:

ECH (Encrypted Client Hello), eger öň/CDN tarapyndan goldanylsa, SNI-ni gizleýär.
HTTP/2/3 diňe güýçli şifrler bilen; goragsyz HTTP gadaganlygy, HTTPS-de redaktirleme.

3) HSTS vs TLS-stripping

Kök domeninde we alt domenlerinde HTTP Strict Transport Security-i açyň:


Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

Domeni HSTS preload sanawynda goýuň.

Çap etmezden ozal düzedişe gözegçilik ediň (yzyna gaýtarmak kyn).

4) Özara tassyklamak: mTLS we/ýa-da bellikler

Mikroservisler/içerki API arasynda mTLS: iki taraplaýyn şahadatnamalar, service mesh (Istio/Linkerd) ýa-da öz PKI arkaly awtomatiki aýlanyş.

API-müşderiler (ykjam/hyzmatdaş integrasiýalary): tokenler (OAuth2/OIDC, JWT), ýokary töwekgelçilik üçin goşmaça mTLS.

Jemgyýetçilik frontlary üçin: TLS +/DPoP enjamyna birikdirilen gysga ömürli OAuth2/OIDC bellikleri.

5) Şahadatnamalary we durmuş siklini dolandyrmak

ACME-awtomatlaşdyrma (mysal üçin, Let's Encrypt/guramaçylyk CA) awto-täzelenme bilen gutarmanka 30 gün öň.

Şahadatnamalaryň gysga ömri (90 günden ≤) + möhletlere, alertlere we kanareýaly deploý-paketlere gözegçilik.

Merkezleşdirilen PKI: kök/aralyk CA, CRL/OCSP, emissiýa we yzyna çagyryş barlagy.

Nginx mysaly (bölek):

nginx ssl_protocols TLSv1. 3 TLSv1. 2;
ssl_ciphers TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256:TLS_CHACHA20_POLY1305_SHA256;
ssl_prefer_server_ciphers on;
ssl_ecdh_curve X25519:P-256:P-384;
ssl_stapling on; ssl_stapling_verify on;
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

6) Syrlaryň aýlanmagy: ýörelgeler we patternler

Aýlanmagyň maksatlary: syzmagyň "partlaýjy radiusyny" çäklendirmek, hyýanatçylykly peýdalanmagyň wagtyny azaltmak, üznüksiz goýberişleri üpjün etmek.

Esasy düzgünler:

Syrlary diňe gizlin dolandyryjyda saklamak (KMS/Vault/Cloud SM). Git/suratlarda hiç hili syr ýok.
Gysga TTL we awtomatiki aýlaw: gol açarlary, DB parollary, üpjün edijileriň API-açarlary.
Goşa çap etmek (dual-key window): Köne we täze açarlar bir wagtyň özünde hereket edýär.
Version + kid (JWT/JWKS üçin), köne bellikleri tassyklamak üçin "grace" penjiresi.

Yzygiderli aýlanmaly zat:

JWT-açarlar (gol/şifrlemek), webhuklaryň we callbacklaryň HMAC-syrlary, DB parollary/hasaplary, keş üçin kreddler (Redis), CI/CD bellikleri, Üpjün edijileriň syrlary (KYC/AML, tölegler, SMS/e-mail), SSH-awtomatika açarlary.

Meýilleşdirilmedik aýlawyň triggerleri: syzmak, işgärleriň elýeterli işden boşadylmagy, üpjün edijiniň çalşylmagy, düzgünleşdirijiniň talaplary.

7) JWT/JWKS: howpsuz roll overley

JWKS endpoint-i häzirki we geljekdäki açar bilen çap ediň ('kid' hökmany).

Aýlanyş tertibi:

1. JWKS-e "ikinji" hökmünde goşuň.

2. Gol çekenleri täzeläň → täze bellikleri täze açar bilen çykaryň.

3. Köne JWKS-den köne açary aýyrmak üçin TTL-e garaşyň.

Goşmaça barlamak bilen gysga TTL tokenlerini (mysal üçin 5-15 minut) + refresh akymlaryny guruň.

8) Iş ýüzünde gizlin dolandyryş

KMS + envelope encryption: HSM/KMS-de esasy açar, maglumatlar "örtülen" DEK bilen şifrlenýär.

Vault/Cloud Secret Manager: BD-e dinamiki kreddler (TTL bilen okalmalary bermek), wagtal-wagtal aýlanmak.

Kubernetes: External Secrets/Secrets Store CSI; etcd şifrlemek; RBAC; syr ýazmagy gadagan etmek.

Rollar boýunça elýeterlilik: IAM/ABAC, iň az artykmaçlyklar ýörelgesi, enjam çäkleri (HSM, TPM).

Doly audit: kim, näme, haçan, näme üçin okady/üýtgetdi.

9) Perimetriň içindäki ulag goragy

"Içerki tora" ynanmaň: hemme ýerde TLS/mTLS (zero-trust).

Service mesh şahadatnamalary, täzeden başlamagy we aýlanmagy, synlanmagy awtomatlaşdyrýar (mTLS standart).

TLS terminasiýalaryny azaltyň: diňe edge + şifrlenen gündogar-günbatar ýa-da ahyrky şifrlemek.

10) TLS-iň üstündäki API howpsuzlyk syýasaty

Rate limiting/DoS-gorag, webhuklaryň goluny barlamak (gizlinleriň aýlanmagy bilen HMAC).

Content-Security-Policy/Referrer-Policy/X-Content-Type-Options для фронта.

mTLS kritiki endpoint 'ow (tölegler, administrator), partnýorlar boýunça IP allow-list.

Replay-gorag: timestamp + nonce gol çekilen soraglarda, penjireler 5 minutdan köp bolmaly däldir.

11) Gözegçilik we synaglar

TLS syn edilişi: metriklerdäki wersiýalar/şifrler, aşak gaçmak synanyşyklary üçin aladalar, el çarpmagyň şowsuzlygynyň ýokarlanmagy.

Skanerler (CI/CD-de we yzygiderli önümde): goldanýan şifrleri, şahadatnamalary, HSTS, OCSP barlamak.

Chaos/DR-maşklar: şahadatnamanyň gutarmagy, gizlin dolandyryjynyň ýykylmagy, gol açarynyň bozulmagy - jogap meýilnamalaryny barlaň.

12) Jogap bermek tertibi

Açaryň bozulmagy: JWKS-den şahadatnamany derrew yzyna almak/açary aýyrmak, ätiýaçlyk, tokenleriň mejbury täzelenmegi.

Uzaldylmazdan gutarmak: wagtlaýyn pese gaçmak (diňe içerki traffik), şahadatnamalary awtomatiki usulda täzeden gurmak.

Waka hasabaty: wagt aralygy, täsir eden subýektler, tehniki. çäreleri düzedýän jikme-jiklikler.

13) Çalt barlagyň çek-sanawy (prod-ready)

Diňe TLS 1. 3 (+ 1. 2 legasi üçin), şifrleriň berk sanawy.
HSTS с `preload`, OCSP stapling, ALPN.
PFS üçin ECDHE; ECDSA P-256/384 ýa-da RSA 3072.
mTLS klasteriň içinde/möhüm hyzmatlaryň arasynda.
JWKS + kid, gysga TTL bellikleri, aýlanyş meýilnamasy.
Syrlar - diňe KMS/Vault-da, BD/üpjün edijileriň awto-aýlawynda.
Şahadatnamalaryň awto täzelenmesi (ACME), 30 günüň içinde alertler.
Howpsuzlyk sözbaşylaryny we gowşak şifrleri CI/CD barlagy.
Dokumentlenen runbook 'i: aýlanyş, yzyna çagyryş, hadysalar.

Jemleme

API ygtybarly goragy TLS 1 kombinasiýasydyr. 3 + HSTS + PFS hökmany minimum we açarlary we syrlary dolandyrmagyň kämillik prosesi hökmünde. Hyzmatlaryň arasynda mTLS goşuň, KMS/Vault/mesh arkaly çykmagy/aýlanmagy awtomatlaşdyryň, açarlary çalyşanyňyzda gysga TTL we "goşa penjireleri" saklaň - önümiň elýeterliligini we tizligini bozmazdan, saklamak, downgred we gizlin syr ulanmak töwekgelçiligini azaldar.