CloudFront artık origin’e ISP ve post-quantum TLS bilgisini iletiyor

Amazon CloudFront, origin’e iletilebilen iki yeni isteğe bağlı CloudFront header’ı ekledi: CloudFront-Viewer-ISP ve CloudFront-Viewer-TLS-Details. İlki isteğin geldiği internet servis sağlayıcısının adını taşıyor. İkincisi bağlantıdaki key exchange, imza şeması ve imza public key tipini gösteriyor, böylece PQC (post-quantum cryptography) kullanılıp kullanılmadığı görülebiliyor.

Amazon CloudFront nedir, ne işe yarar?

Amazon CloudFront, AWS’in CDN (Content Delivery Network) hizmetidir. İçeriği kullanıcıya yakın edge lokasyonlarından sunar, TLS bağlantısını edge’de sonlandırır ve istekleri arkadaki origin sunucusuna iletir. Statik dosya dağıtımı, API önünde caching ve DDoS koruması için kullanılır. Cloudflare, Fastly ve Akamai başlıca alternatifleridir.

Ne işe yarar?

İki farklı sorunun cevabı tek bir değişiklikle origin log’una geliyor. ISP header’ı, bir yavaşlığın ya da trafik patlamasının belirli bir ağdan gelip gelmediğini ayırmaya yarıyor. TLS-Details header’ı ise PQC geçişini tahminle değil, gerçek client verisiyle planlamanıza imkân veriyor. Hangi kullanıcıların hâlâ klasik key exchange ile bağlandığını görmeden, PQC’ye zorunlu geçiş kararı almak risklidir.

Yeni CloudFront header’larını origin’e iletmek

Header’lar varsayılan olarak gelmiyor. Bir origin request policy’ye ekleyip policy’yi distribution’a bağlamanız gerekiyor. Mevcut policy’lerinizi önce listeleyin:

aws cloudfront list-origin-request-policies

Header’ı cache policy’ye değil, origin request policy’ye koyun. Cache key’e giren her header cache’i parçalar; ISP adı gibi çok değerli bir alan hit oranını düşürür.

Log’a yazmadan veri yok

Origin bu değerleri kendiliğinden saklamıyor. Nginx kullanıyorsanız log formatına eklemeniz yeterli:

log_format cf '$remote_addr "$http_cloudfront_viewer_isp" "$http_cloudfront_viewer_tls_details"';

Burada asıl tuzak şu: origin yalnızca cache miss isteklerini görür. Statik içeriği yoğun cache’lenen bir sitede PQC oranı ya da ISP dağılımı, tüm trafiği değil, origin’e düşen kısmı yansıtır. Ölçümü dinamik ve cache’lenmeyen endpoint’ler üzerinden yorumlayın.

Gizlilik ve saklama

ISP adı tek başına kimlik belirtmez, ama IP adresiyle aynı satırda kullanıcı verisi gibi davranır. Bu CloudFront header alanlarını log saklama politikanıza dahil edin. Analiz için gerekiyorsa ISP bazında toplanmış metrik tutup ham satırları kısa sürede silmeyi değerlendirin.