CDN, Reverse Proxy, Cache και Edge Security — DedSec Project

Ελληνική έκδοση — Μάθημα 126. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την ακρίβεια.

Μελέτησε CDN/reverse proxy/cache ως αλυσίδα trust πριν το origin: cache keys, forwarded headers, origin shielding, edge code και purge.

Μαθησιακοί στόχοι

Στο τέλος πρέπει να μπορείς να:

• εξηγήσεις το CDN and reverse-proxy trust boundaries και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το cache keys and variation και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το header normalization and forwarding και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το origin authentication and shielding και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το signed URLs/cookies concepts και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το cache poisoning classes και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,

Βαθιές τεχνικές έννοιες

1. CDN και reverse-proxy trust boundaries

CDN/proxy μπορεί να τερματίζει TLS, να γράφει forwarding headers και να αλλάζει routing/cache state. Origin πρέπει να εμπιστεύεται μόνο γνωστά edge paths και να απορρίπτει client-controlled values που υποτίθεται ότι γράφει ο proxy.

2. cache keys και Vary

Cache key αποφασίζει ποια requests μοιράζονται response. Έλεγξε host, path, query, headers, cookies, encoding, auth state και Vary ώστε private ή attacker-influenced response να μη χρησιμοποιείται σε άλλο context.

3. header normalization και forwarding

Edge και origin μπορεί να χειρίζονται duplicates, whitespace ή hop-by-hop headers διαφορετικά. Όρισε canonical policy end-to-end και μην παίρνεις access decision από header που client μπορεί να inject/preserve.

4. origin authentication και shielding

Private origin πρέπει να δέχεται μόνο intended edge/shield traffic και όπου γίνεται να authenticate τη σχέση. Συνδύασε network restrictions με service/TLS identity αντί να βασίζεσαι αποκλειστικά σε εύθραυστα IP lists.

5. signed URLs και cookies

Signed URL/cookie δίνει περιορισμένη authority για content. Δέσε signature με resource/path, expiry, audience/context και key version και απόφυγε broad wildcards.

6. cache poisoning classes

Cache poisoning είναι πρόβλημα state integrity όταν attacker-influenced response αποθηκεύεται κάτω από key άλλων users. Δοκίμασε μόνο synthetic content και έλεγξε unkeyed inputs, error caching και purge.

7. edge compute και request mutation

Edge functions είναι μέρος του application security boundary όταν κάνουν auth, redirects ή transformations. Χρειάζονται code review, least privilege, secret isolation, versioned deploy και logs όπως backend service.

8. purge και incident response

Origin fix δεν αφαιρεί ήδη cached unsafe content. IR χρειάζεται authenticated purge, scoped invalidation, propagation evidence, rollback και verification από διαφορετικά edges.

Καθοδηγούμενο εργαστήριο

• Εργαστήριο 1 — Σχεδίασε τοπικό εργαστήριο αντίστροφου διαμεσολαβητή με δύο παραλλαγές cache και επαλήθευσε ότι ιδιωτικά δεδομένα δεν αποθηκεύονται σε κοινόχρηστη cache.

• Εργαστήριο 2 — Γράψε πολιτική πρόσβασης στην προέλευση που διαχωρίζει την κίνηση έμπιστου κόμβου ακμής από απευθείας αιτήματα διαδικτύου.

• Εργαστήριο 3 — Κατασκεύασε πίνακα εμπιστοσύνης κεφαλίδων που ορίζει ποιο επίπεδο ελέγχει IP πελάτη, σχήμα, host και πιστοποιημένη ταυτότητα.

Πλήρες αγγλικό μάθημα

English Module 126

Επόμενα μαθήματα

Σχετικά modules: 013, 014, 041, 052, 069, 104, 124. Από το κύριο menu επίλεξε Αναζήτηση μαθημάτων για να βρεις σχετικά θέματα σε όλο το project.