Amazon MSK’de TLS 1.3 desteği security policy ile geliyor

Amazon MSK TLS 1.3 desteği, MSK Provisioned cluster’lar için encryption policy’ler üzerinden kullanıma açıldı. Özellik opt-in çalışıyor: cluster yapılandırmasında bir named security policy seçilmedikçe mevcut cluster’larda hiçbir şey değişmiyor. Ek ücret yok ve MSK Provisioned’ın bulunduğu tüm AWS bölgelerinde geçerli.

Amazon MSK nedir, ne işe yarar?

Amazon MSK (Managed Streaming for Apache Kafka), AWS’nin yönetilen Apache Kafka hizmetidir. Broker kurulumu, yama ve scaling gibi operasyon işlerini AWS üstlenir; ekipler event streaming, log toplama ve veri pipeline’ları için Kafka uyumlu cluster’lar çalıştırır. Kendi Kafka kurulumunu yönetmek ya da Confluent Cloud gibi başka yönetilen hizmetler bilinen alternatiflerdir.

Varsayılan davranış değişmiyor

Bu duyuruda en rahatlatıcı nokta opt-in yapısı. Policy uygulamadığınız sürece cluster’larınız bugünkü gibi çalışıyor. Yani acil bir müdahale yok, ama bir plan gerekiyor.

Policy, cluster’ın kabul edeceği TLS sürümünü ve cipher suite’leri belirliyor. Şartı karşılamayan bağlantı doğrudan reddediliyor. Bu ayrıntı, yanlış policy seçiminin producer ve consumer’larda kesintiye dönüşebileceği anlamına geliyor.

Amazon MSK TLS 1.3 geçişini sırayla yapın

Kaynakta tarif edilen yol kademeli geçişe uygun:

• Önce TLS 1.2 ve 1.3’ü birlikte kabul eden bir policy seçin. TLS 1.3 destekleyen client’lar hemen 1.3 ile bağlanır, diğerleri 1.2’de kalır.
• Client envanterini çıkarın: Kafka client kütüphaneleri, Kafka Connect worker’ları, stream processing uygulamaları, izleme araçları.
• Eski client’ları kendi takviminizde güncelleyin.
• Hepsi hazır olduğunda yalnızca TLS 1.3 kabul eden policy’ye geçin.

Sıralamayı tersine çevirmek, yani doğrudan katı policy’yi uygulamak, güncellenmemiş client’ları anında dışarıda bırakır.

Client’ın hangi sürümle bağlandığını test etmek

Bir host’tan broker’ın TLS 1.3 kabul edip etmediğini openssl ile görebilirsiniz:

openssl s_client -connect <broker-endpoint>:<tls-port> -tls1_3
openssl s_client -connect <broker-endpoint>:<tls-port> -tls1_2

Bu test broker tarafını doğrular. Uygulamanızın gerçekte hangi sürümü konuştuğu, kullandığı runtime ve TLS kütüphanesine bağlı; bunu ayrıca kontrol edin.

Neden şimdi ilgilenmeli?

AWS, Amazon MSK TLS 1.3 desteğini post-quantum kriptografinin ön koşullarından biri olarak konumluyor. Hedef, trafiği bugün kaydedip ileride çözmeyi planlayan saldırgan senaryosu. Uzun ömürlü hassas veri taşıyan Kafka topic’leriniz varsa geçişi ertelememek için iyi bir gerekçe. Compliance denetimi bekleyen ekipler için de katı policy, denetçiye gösterilebilir somut bir kontrol.