← Privacy Proxy / privacy-proxy / koncepty

Ověřování

Privacy Proxy vyžaduje, aby se klienti před přeposíláním provozu ověřili. Tato stránka popisuje podporované metody ověřování a kdy je použít.

Privacy Proxy podporuje tři metody ověřování:

Předsdílené klíče poskytují jednoduchý způsob ověřování během vývoje a testování konceptu. Cloudflare poskytuje tajný klíč, který klienti zahrnují do každého požadavku.

Zahrňte PSK do Proxy-Authorization hlavičku:

CONNECT example.com:443 HTTP/2
Host: example.com
Proxy-Authorization: Preshared <YOUR_PSK>

Proxy klíč ověří a spojení povolí, pokud se shoduje.

Ověřování PSK má omezení, kvůli kterým se nehodí pro produkční prostředí.

• Sdílený tajný klíč: všichni klienti používají stejný klíč, takže přístup jednotlivým uživatelům nelze odvolat.
• Žádné omezení rychlosti na uživatele: nelze vynutit kvóty ani limity pro jednotlivé uživatele.
• Propojitelnost: proxy může propojit všechny požadavky používající stejný PSK, což snižuje soukromí uživatele.

PSK používejte pouze pro testování. Pro produkční nasazení použijte Tokeny Privacy Pass.

Privacy Pass ↗ je protokol, který klientům umožňuje autentizovat se, aniž by odhalili svou identitu. Tokeny jsou kryptograficky nespojitelné, takže proxy nemůže propojit různé požadavky od stejného uživatele.

Privacy Pass využívá třístrannou architekturu:

• Ověřovatel: ověřuje, že Client je legitimní uživatel (například má platný účet), a přeposílá požadavky na tokeny Issueru.
• Vydavatel: podepisuje zaslepené tokeny, aniž by zjistil, který Client o ně požádal.
• Origin (Privacy Proxy): přijímá tokeny jako doklad autorizace.

┌──────────┐    1. Attestation request   ┌──────────┐
│          │ ──────────────────────────▶ │          │
│  Client  │                             │ Attester │
│          │ ◀────────────────────────── │          │
└──────────┘    2. Attestation OK        └──────────┘
     │
     │ 3. Blinded token request
     ▼
┌──────────┐    4. Forward request       ┌──────────┐
│          │ ──────────────────────────▶ │          │
│ Attester │                             │  Issuer  │
│          │ ◀────────────────────────── │          │
└──────────┘    5. Signed blinded token  └──────────┘
     │
     │ 6. Return to Client
     ▼
┌──────────┐
│  Client  │  (unblinds and stores token)
└──────────┘

Klient posílá žádost o token přes ověřovatele, aby byla zachována nepropojitelnost. Díky tomu nemůže vydavatel spojit žádosti o tokeny s konkrétními atestačními událostmi ani identitou klienta.

┌──────────┐    1. Present token         ┌──────────┐
│          │ ──────────────────────────▶ │          │
│  Client  │                             │  Privacy │
│          │ ◀────────────────────────── │  Proxy   │
└──────────┘    2. Connection OK         └──────────┘

Privacy Proxy ověří token pomocí veřejného klíče vydavatele. Proxy se tak dozví jen to, že je token platný, nikoli komu byl vydán.

Proces vydávání tokenu:

1. Klient prokáže svou identitu ověřovateli (například přihlášením k účtu).
2. Ověřovatel potvrdí, že klient je platný.
3. Klient vygeneruje zaslepené tokeny a odešle je vydavateli.
4. Vydavatel zaslepené tokeny podepíše a vrátí je.
5. Klient tokeny odslepí a uloží je.

Při odesílání požadavku:

1. Klient uvede token v Proxy-Authorization hlavička.
2. Proxy ověří podpis tokenu pomocí veřejného klíče vydavatele.
3. Proxy spojení povolí, pokud je token platný.

Protože jsou tokeny při vydávání zaslepeny, vydavatel nedokáže propojit token s konkrétní žádostí o vydání. Proxy vidí pouze to, že je token platný, nikoli komu byl vydán.

Tokeny Privacy Pass jsou zahrnuty v Proxy-Authorization hlavičku pomocí PrivateToken schéma:

CONNECT example.com:443 HTTP/2
Host: example.com
Proxy-Authorization: PrivateToken token=<base64-encoded-token>

Pro produkční nasazení používající Privacy Pass:

1. Vyberte vydavatele. Vydavatele tokenů může provozovat Cloudflare, nebo se můžete integrovat s vydavatelem třetí strany.
2. Nakonfigurujte atestaci, která určuje, jak klienti prokazují svou identitu před obdržením tokenů.
3. Distribuujte konfiguraci vydavatele. Klienti potřebují veřejný klíč vydavatele a endpoint, aby mohli žádat o tokeny.

Kontaktujte nás ↗ ke konfiguraci Privacy Pass pro vaše nasazení.

Ověřování Mutual TLS (mTLS) ↗ zajišťuje, že provoz je v obou směrech zabezpečený a důvěryhodný. Klient předloží proxy certifikát a proxy jej před povolením připojení ověří.

Klient během handshake TLS předloží klientský certifikát TLS. Proxy certifikát ověří oproti nakonfigurované certifikační autoritě (CA) a spojení povolí, pokud je certifikát důvěryhodný.

Pro každého klienta nebo každou službu musíte zajistit a spravovat certifikáty. mTLS je určeno pro komunikaci mezi servery, nikoli pro ověřování jednotlivých uživatelů. Proxy server dokáže klienta identifikovat podle jeho certifikátu, což ve srovnání s Privacy Pass snižuje míru soukromí.

Použijte mTLS u integrací mezi servery, kde jsou obě strany důvěryhodnými službami.

V nasazení se dvěma skoky, k autentizaci dochází na dvou úrovních:

Proxy A (kterou provozujete vy) ověřuje uživatele. Mezi běžné metody patří:

• Přihlašovací údaje k účtu (uživatelské jméno/heslo, SSO)
• Tokeny Privacy Pass vydané vaší infrastrukturou
• Klientské certifikáty (mTLS)

Proxy B se vůči Proxy A ověřuje pomocí TLS. V závislosti na konfiguraci může použít:

• Standardní certifikáty TLS
• Rozšíření TLS Raw Public Key (RPK) pro snížení režie certifikátů

• Privacy Pass Working Group ↗ - Pracovní skupina IETF vyvíjející protokol Privacy Pass.
• Podpora nejnovější verze protokolu Privacy Pass ↗ - Příspěvek na blogu Cloudflare o implementaci Privacy Pass.