Η αρχιτεκτονική του Oblivious HTTP
Το OHTTP αποτελεί ένα πρότυπο του IETF που στοχεύει στην αποσύνδεση της ταυτότητας του χρήστη από το περιεχόμενο της επικοινωνίας. Η αρχιτεκτονική βασίζεται σε δύο ανεξάρτητα σκέλη: τον relay και το gateway. Ο relay προωθεί τα κρυπτογραφημένα πακέτα χωρίς να γνωρίζει το περιεχόμενο, ενώ το gateway αναλαμβάνει την αποκρυπτογράφηση μέσω Hybrid Public Key Encryption (HPKE). Με αυτόν τον τρόπο, κανένα από τα δύο μέρη δεν κατέχει ταυτόχρονα την IP του χρήστη και το plaintext του αιτήματος.
Γιατί το OHTTP Gateway αλλάζει τα δεδομένα
Μέχρι πρότινος, οι developers που χρησιμοποιούσαν την υποδομή της Cloudflare δυσκολεύονταν να υλοποιήσουν το OHTTP, καθώς η Cloudflare θα έβλεπε και τα δύο σκέλη της επικοινωνίας, παραβιάζοντας το μοντέλο ιδιωτικότητας. Το νέο OHTTP Gateway επιλύει αυτό το πρόβλημα, επιτρέποντας στους χρήστες να επιλέξουν αν θα χρησιμοποιήσουν το δικό τους relay ή το managed gateway της Cloudflare, ανάλογα με το πού φιλοξενούνται οι εφαρμογές τους.
Τεχνικές προκλήσεις και υλοποίηση
Η Cloudflare έχει βελτιστοποιήσει τη διαδικασία μέσω:
- Chunked OHTTP: Υποστήριξη για σταδιακή επεξεργασία αιτημάτων, μειώνοντας το overhead.
- Key Management: Αυτοματοποιημένη διαχείριση των HPKE κλειδιών, τα οποία σερβίρονται μέσω ενός standard endpoint (
/.well-known/ohttp-gateway). - Zero Trust Integration: Χρήση του Cloudflare Access για τον έλεγχο των relays, αποτρέποντας μη εξουσιοδοτημένους φορείς από το να χρησιμοποιούν το gateway ως proxy.
Επιλογή της κατάλληλης στρατηγικής
Η επιλογή μεταξύ OHTTP Relay και OHTTP Gateway εξαρτάται από τη θέση των application servers. Αν οι servers βρίσκονται πίσω από το CDN της Cloudflare, το OHTTP Gateway είναι η ενδεδειγμένη λύση για τη διατήρηση του privacy boundary, καθώς η Cloudflare διασφαλίζει ότι δεν θα υπάρξει σύγκρουση ρόλων που θα αποκάλυπτε τα δεδομένα του χρήστη.