Açarlary we bellikleri aýlamak

1) Näme üçin aýlaw gerek?

Açarlar we bellikler gutulgysyz "garalýar": bloglarda/belliklerde ekspozisiýa, içerki töwekgelçilikler, kitaphanalaryň gowşaklygy, hyzmatdaşlaryň syzmagy. Aýlanmak "töwekgelçilik ömrüni" peseldýär we hadysalara gözegçilik etmegi üpjün edýär. Maksat, öňünden aýdyp boljak aýlaw sikllerini we iş wagty bolmazdan çalt yzyna almak mehanizmlerini gurmak.

2) Sebit: nämäni aýlanýarys

Gol/şifrlemek açarlary: JWT (JWS/JWE), OAuth/OIDC, SAML, webhuklar (HMAC), ygtyýarnamalar.
Integrasiýa syrlary: API-açarlar, client secret, tehniki parollar. Ulanyjylar.
TLS/mTLS: serwer/müşderi şahadatnamalary, kök/aralyk CA.
Maglumat açarlary: KMS/HSM-de KEK/CMK, DEK (envelope encryption).
Токены: access/refresh, service-to-service (mTLS, HMAC), short-lived session.

3) Saklamak, wersiýalary, bellikleri

KMS/HSM/Vault hakykat çeşmesi hökmünde. Şahsy açarlary git/ENV/şekilli faýllarda saklamak gadagandyr.
Version: 'key _ id '/' version' + bellikler: 'purpose = jwt-sign', 'env = prod', 'alg = ES256', 'created _ at', 'rotates _ at'.
Giriş syýasaty: iň az zerur hukuklaryň ýörelgesi (least privilege), borçlaryň bölünmegi (SoD).
Audit: kim döretdi/okady/gol çekdi; üýtgemeýän magazinesurnallar.

4) Rotasiýa esasy patternleri

4. 1 Örtülen penjireler (graceful rollover)

Täze açar → JWKS-de çap/sertifikaty paýlamak.
Örtük penjiresi: köne we täze açarlar bilen tassyklamak, gol - diňe täze.
Grace-döwür gutarandan soň - eskisini ygtybarly toplumdan aýyrýarys.

4. 2 Goşa çykyşy (dual-run)

Häkimiýetleriň bir böleginiň köne, bir böleginiň täze (iri flitler üçin) gol çekýän gysga döwri.
Berk sinhronlanan JWKS we 'kid' boýunça tassyklamalaryň paýyna gözegçilik etmegi talap edýär.

4. 3 Rotate-on-schedule vs rotate-on-use

Meýilnama boýunça: N gün/hepdede bir gezek (gol açarlary, TLS).
Ulanylanda: refresh-tokenler - bir gezeklik, her alyş-çalyş üçin täzesi ("süýşýän" rotasiýa).

5) JWT/JWKS: tejribe

5. 1 Sözbaşylar we kesgitleýjiler

JWS sözbaşysyndaky 'kid' -i barlamak üçin ulanyň.
Iň az klaim, gysga 'exp', dogry 'aud/iss/nbf'.

json
{ "alg": "ES256", "kid": "jwt-2025-10", "typ": "JWT" }

5. 2 JWKS neşirleri

JWKS ähli işjeň barlag açarlaryny öz içine almalydyr (grace penjiresinde köne + täze).
JWKS-i müşderilerde kesmek: gysga TTL (mysal üçin 5-15 minut).
Eglişik edilende - JWKS-den eglişik edilen açary aýyrmak (ýiti), keshiň fors-maýyplygy.

json
{
"keys": [
{ "kty":"EC","crv":"P-256","kid":"jwt-2025-10","use":"sig","alg":"ES256","x":"...","y":"..." },
{ "kty":"EC","crv":"P-256","kid":"jwt-2025-07","use":"sig","alg":"ES256","x":"...","y":"..." }
]
}

5. 3 Kadens we möhletler

JWT goly: açaryň her 3-6 aýda aýlanmagy (ýa-da ýokary töwekgelçilik üçin ýygy-ýygydan).
'exp' access-token: 5-30 min; refresh - 7-30 gün ("rotate-on-use" -den).
Ogurlyk töwekgelçiligini azaltmak üçin PoP/DPoP bilen mejbury "ýapyşmak" (§ 8 serediň).

6) HMAC-yň aýlanmagy (webhuklar/gollar)

Işjeň we kanar syrlaryny saklaň; ikisiniňem gollaryny kabul ediň.
Sözbaşylar: 'X-Signature' + 'X-Timestamp'; penjiräniň çäkleri ± 300s.
Täzesini doly öçürmek - iberiji tassyklanandan soň.
Hyzmatdaşlar üçin: Geçiş senesini we barlag wagtyny çap ediň.

7) TLS/mTLS we ynam zynjyrlary

Jemgyýetçilik serwer şahadatnamalary üçin ACME/auto-renew (Let's Encrypt ýa-da Corporate CA).
mTLS: gysga müşderi şahadatnamalary (7-30 gün), kanallar arkaly awtomatiki aýlanyş (SPIFFE/SPIRE/mesh).
Aralyk/kök CA-nyň aýlanyşygy diňe örtülen ynam labyrlary (trust bundle) we uzak möhletli kanary arkaly amala aşyrylýar.
OCSP/CRL we clock-skew-i yzarlaň. Sanawda - tassyklamanyň ret edilmeginiň sebäpleri.

8) PoP/DPoP we token baglanyşygy müşderiniň açary

DPoP (Demonstration of Proof-of-Possession): belgi müşderiniň public-key bilen baglanyşykly; replay töwekgelçiligini peseldýär.
Müşderiniň açaryny aýlamak = täze DPoP açaryny, tokenleri gysga möhlete çykarmak.
Hyzmat-k-hyzmaty üçin mTLS has gowudyr (enjam/worker HSM/TPM-de açary "göterýär").

9) Refresh-tokenler: rotate-on-use

Bir gezek ulanylýan refresh-tokenler: her alyş-çalyş → täze refresh + access.
Yzyna alnan 'jti '/' sid' sanawyny TTL bilen saklamak = ömrüň möhleti refresh.
Gaýtadan ulanmagyň detekti (re-play): sessiýany/enjamy derrew yzyna almak, alert.

10) Yzyna almak we gulplama sanawlary

JWT-ni içgysgynç däl: "exp" + "gara sanawlar" 'jti' -ni kritiki ýagdaýlar üçin ulanyň (ýerli/Redis-de, heş boýunça şardlamak).
OAuth introspection: statuslaryň merkezleşdirilen serweri; gysga TTL bilen "active = false/true" kesiň.
API açarlary: açar heşini (parollar ýaly), eýesiniň/tenantyň belliklerini, skope, döredilen/soňky giriş senesini saklaň; Yzyna almak - derrew.

11) Maglumat açarlary: envelope-şifrlemek

CMK/KEK (KMS/HSM) DEK-i goraýar; CMK aýlawy maglumatlary açmazdan amala aşyrylýar: DEK pere-wrap.
Her bir obýekt/tenant/partiýa üçin DEK; KDF/HKDF emele gelen açarlar üçin.
Ýok etmek syýasaty (crypto-shredding): KEK-i aýyrmak = eglişik edilende maglumatlaryň okalmazlygy.

12) Wakalaryň tertibi (eglişik)

1. Doňdurmak: bozulan açarda tokenleriň goýberilmegini öçürmek, bergini täzesine geçirmek.
2. Yzyna al: JWKS-den 'kid' -ni aýyryň, şahadatnamalary yzyna alyň (OCSP/CRL), sanawdaky API açarlaryny petikläň.
3. TTL gysgaldyň: "exp" belgilerini wagtlaýynça azaltmak, PoP/DPoP barlagyny güýçlendirmek.
4. Mejbury logout: sessiýalary maýyp etmek (revoke 'sid '/' jti').
5. Forensika we hasabat: wagt, gurşaw, kim/näme ejir çekdi; Pleybuklary täzeläň.

13) Pipline we rollout

13. 1 Nesil we neşir

HSM/KMS açarlaryny dörediň; hususy açaryň eksporty gadagan edilýär.
JWKS/şahadatnamalary barlamak we synaglar bilen awtomatiki çap etmek.
Kanar çykyşy: 1-5% müşderiler → 100%.

13. 2 Saglyga gözegçilik

Metrikler: 'kid' boýunça tassyklamalaryň paýy, gol/şahadatnama ýalňyşlyklary, sagat süýşmesi.
Alerts: 401/403 goluň köpelmegi, OCSP/CRL elýeterli däl, möhleti gutarýan şahadatnamalar (T-30/T-7/T-1).

14) Konfigikler we mysallar

14. 1 Vault/KMS syýasatynyň mysaly (psevdo)

hcl path "transit/keys/jwt-prod" {
capabilities = ["read," "update," "list"] # signature/rotation
}
path "transit/keys/jwt-prod/rotate" {
capabilities = ["update"]
}

14. 2 JWT aýlanyş meýilnamasynyň mysaly

T0: create a new version of the key (kid = jwt-2025-10), add to JWKS
T0 + 15m: start signing with a new kid; validate with old and new
T0 + 7d: remove old kid from JWKS
T0 + 30d: delete old private key from KMS (schedule purge)

14. 3 Envoy: JWKS-iň mejbury täzelenmesi (psevdo)

yaml jwt_authn:
providers:
oidc:
issuer: https://auth. example. com/
remote_jwks:
http_uri:
uri: https://auth. example. com/.well-known/jwks. json cluster: jwks_cluster timeout: 2s cache_duration: 300s # короткий TTL

15) Gözegçilik we audit

Метрики: `jwt_verify_fail_total{reason}`, `jwks_refresh_total`, `jwks_kid_share{kid}`, `token_revoked_total`, `refresh_rotations_total`, `dpop_fail_total`.
Логи: `kid`, `jti`, `sid`, `reason`, `client_id`, `tenant`, `trace_id` (без PII).
Daşbordlar: 'kid' paýnamalarynyň kartasy, möhleti gutarýan şahadatnamalar, yzyna almagyň ýygylygy, sebitler boýunça galyp däl gollar.

16) Antipatternler

Uzak ömürli JWT-ler yzyna çagyrylman we gysga 'exp' bolmazdan.
Kid 'we "el bilen" barlag açarynyň ýoklugy.
KMS-siz we etcd derejesinde şifrlemezden gizlin ENV/k8s-Secret saklamak.
Rotasiýa däl refresh-tokenler; refresh detektorsyz gaýtadan ulanmak.
"Hemmeler üçin" ýeke global API açary.
JWKS-i çap etmezden we gözegçilik etmezden täze açarlary "ýuwaş" çykarmak.
Örtügiň nol penjireleri (derrew çalyşmak) → köpçülikleýin 401/403.

17) iGaming/Maliýe aýratynlyklary

Düzgünleşdirijiler we audit: aýlawlaryň/synlaryň üýtgemeýän ýazgylary; wagtyň we aktýorlaryň subut edilip bilinjekdigi.
Partnýor PSP/KYC: partnýor/ýurisdiksiýa üçin aýratyn açarlar; SLA/howpsuzlyk bozulmalary ýüze çykan halatynda çalt yzyna çagyryş.
Köp kärende: skope bilen per-tenant API açarlary; markalaryň/sebitleriň açarlarynyň izolýasiýasy.
Ýokary töwekgelçilik: Möhüm amallar üçin PoP/DPoP, gysga 'exp', içerki hyzmatlaryň arasynda mTLS.
Backoffice: SSO/OIDC, gysga sessiýalar, enjam tokenleri (FIDO2), hemme ýerde rotate-on-schedule.

18) Prod-taýynlyk çek-sanawy

• KMS/HSM/Vault-daky ähli hususy açarlar; eksport etmek gadagan.
• JWKS gysga TTL bilen çap edilýär we kesilýär; JWT sözbaşylarynda 'kid' bar.
• Örtülen penjire we awtomatiki rollout bilen aýlanyş meýilnamasy.
• Bir gezek ulanylýan refresh-tokenler; TTL bilen yzyna alnan 'jti' sanawy.
• HMAC-syr: işjeň + kanar; ikisini hem kabul etmek; Geçiş wagty yglan edildi.
• TLS/mTLS: auto-renew, T-30/T-7/T-1 alertleri, CA çalyşmak üçin trust bundle.
• Envelope-şifrlemek: KEK/CMK iş kesilmezden aýlanýar, DEK per-obýekt/tenant.
• Gollar, JWKS, synlar boýunça metrikler/alertler; daşbordlar 'kid' -dollar.
• Wakalaryň oýun kitaby (eglişik) we yzygiderli maşklar.
• Täze açarlar/SA bilen kanary we tassyklama synaglary.

19) TL; DR

Açarlary KMS/HSM-de saklaň, JWT-ni 'kid' bilen gol çekiň we JWKS-i çap ediň. Blokirleme bilen açarlary we şahadatnamalary aýlanyň, kid boýunça tassyklamalaryň paýlaryna gözegçilik ediň. Refresh - rotate-on-use we gysga 'exp'; möhüm amallar üçin - PoP/DPoP we mTLS. Maglumatlar üçin duralgasyz KEK aýlawly envelope-şifrlemegi ulanyň. Metrikleri/alertleri, wakalaryň pleýbuklaryny we yzygiderli kanareýa rotasiýalaryny giriziň.