Session Ticket ve Resumption

TLS el sıkışması, özellikle asimetrik şifreleme işlemleri nedeniyle, CPU ve gecikme açısından pahalıdır. Oturum devamı (resumption) sayesinde daha önce bağlanmış bir istemci, tam el sıkışma yapmadan önceki oturum parametrelerini yeniden kullanabilir.

İki yöntem

• Session ID (sunucu önbelleği): Sunucu oturum bilgisini belleğinde tutar; istemci kimliği sunar. Durum sunucudadır ve çok sunuculu ortamda paylaşılan önbellek gerektirir.
• Session ticket: Oturum durumu, sunucuya özel bir anahtarla şifrelenip istemciye bilet olarak verilir. Sunucu durum tutmaz; bileti çözerek oturumu sürdürür. TLS 1.3'te benzer mekanizma PSK tabanlı biletlerle çalışır.

nginx yapılandırması

ssl_session_cache   shared:SSL:10m;
ssl_session_timeout 1h;
ssl_session_tickets on;

shared:SSL:10m tüm işçi süreçlerin paylaştığı önbellektir; ayrılan bellek miktarı trafiğinize göre ayarlanmalıdır.

Güvenlik dengesi

• Bilet şifreleme anahtarı uzun süre değişmezse, anahtarı ele geçiren biri o süre içindeki kayıtlı trafiği çözebilir; bu, ileri gizliliği zayıflatır.
• Yük dengeli çok sunuculu yapıda biletlerin her sunucuda çözülebilmesi için anahtarın paylaşılması ve düzenli değiştirilmesi gerekir. Bunu yönetemiyorsanız ssl_session_tickets off; ile yalnızca önbellek kullanmak daha güvenlidir.
• Bilet anahtarını periyodik döndürün ve dosyayı yalnızca yetkili kullanıcıya açın.

Test

openssl s_client -connect ornek.com:443 -servername ornek.com -reconnect -no_ticket

Çıktıda ilk bağlantı "New", sonrakiler "Reused" olarak görünüyorsa oturum önbelleği çalışıyordur. Bilet için -sess_out / -sess_in bayraklarını kullanabilirsiniz. Genel protokol durumunu SSL denetleme aracıyla da izleyin.

Ek notlar

• Önbellek boyutunu aşırı küçük tutarsanız eski oturumlar sık düşer ve devam oranı azalır.
• Oturum süresi uzadıkça güvenlik riski ve bellek kullanımı artar; 1 saat ile birkaç saat arası dengelidir.
• TLS 1.3 kullanan istemciler bilet yoluyla devam eder; önbellek yalnızca TLS 1.2 için geçerli olabilir.

Yapılandırmayı değiştirdikten sonra nginx'i yeniden yükleyip yukarıdaki testi tekrarlayın.

Özet: Oturum devamı performans kazandırır; bilet anahtarlarını doğru yönetmek koşuluyla güvenle kullanılır.

TLS ayarlarını gözden geçirirken SSL sertifikaları ve bilgi bankası sayfalarındaki diğer rehberlerden de yararlanabilirsiniz.