B.3. TLS 終端プロキシ

B.3. TLS-Terminating Proxies (TLS 終端プロキシ)

本例では, リソースの手前に TLS を終端するリバースプロキシが置かれている. クライアントはリクエストに署名せず, 相互 TLS (mutual TLS) で呼び出す. 終端プロキシは TLS ストリームを検証し, [CLIENT-CERT] に従って Client-Cert ヘッダーフィールドを注入したうえで, このフィールドに署名を適用する. このヘッダーフィールドに署名することで, リバースプロキシは初期リクエストの TLS パラメータを自ら検証したことを証明できるだけでなく, クライアントの動作とは独立にバックエンドへ自身を認証できる.

クライアントは相互 TLS を用いて TLS 終端プロキシへ次のリクエストを送る.

POST /foo?param=Value&Pet=dog HTTP/1.1 Host: example.com Date: Tue, 20 Apr 2021 02:07:55 GMT Content-Type: application/json Content-Length: 18

{"hello": "world"}

プロキシは TLS 接続を処理し, クライアントの TLS 証明書を Client-Cert ヘッダーフィールドに取り出し, service.internal.example でホストされる内部サービスへ渡す. これにより次の未署名リクエストが得られる.

注: RFC 8792 に従う \ による行の折り返し.

POST /foo?param=Value&Pet=dog HTTP/1.1 Host: service.internal.example Date: Tue, 20 Apr 2021 02:07:55 GMT Content-Type: application/json Content-Length: 18 Client-Cert: :MIIBqDCCAU6gAwIBAgIBBzAKBggqhkjOPQQDAjA6MRswGQYDVQQKD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=:

{"hello": "world"}

署名がなければ, 内部サービスは着信接続の情報を信頼する必要がある. Client-Cert ヘッダーフィールドおよび内部リクエストの他の部分に署名することで, 内部サービスは, 信頼できるプロキシがリクエストを処理し正しいサービスに提示したことを確認できる. プロキシの署名ベースは次で構成される.

注: RFC 8792 に従う \ による行の折り返し.

"@path": /foo "@query": ?param=Value&Pet=dog "@method": POST "@authority": service.internal.example "client-cert": :MIIBqDCCAU6gAwIBAgIBBzAKBggqhkjOPQQDAjA6MRswGQYDVQQ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=: "@signature-params": ("@path" "@query" "@method" "@authority"
"client-cert");created=1618884473;keyid="test-key-ecc-p256"

これにより次の署名が得られる.

注: RFC 8792 に従う \ による行の折り返し.

xVMHVpawaAC/0SbHrKRs9i8I3eOs5RtTMGCWXm/9nvZzoHsIg6Mce9315T6xoklyy0y
zhD9ah4JHRwMLOgmizw==

プロキシから内部サービスへ送られる署名付きリクエストは, ラベル ttrp の下でプロキシの署名を付けて次のとおりとなる.

注: RFC 8792 に従う \ による行の折り返し.

{"hello": "world"}

内部サービスはプロキシの署名を検証でき, クライアント証明書が適切に処理されたことを信頼できる.

B.3. TLS-Terminating Proxies (TLS 終端プロキシ)​

B.3. TLS-Terminating Proxies (TLS 終端プロキシ)