Cloudflare AKE, origin HRR oranını yüzde 3,7’ye düşürdü

Cloudflare, Automatic Key Exchange (AKE) özelliğini TLS 1.3 kullanan origin bağlantılarında devreye alarak HelloRetryRequest (HRR) oranını yaklaşık yüzde 52’den yüzde 3,7’ye indirdi. Şirket, origin sunucuların desteklediği ve tercih ettiği anahtar değişim algoritmalarını bağlantı öncesinde tarıyor, ardından her origin için uygun anahtar paylaşımını ilk TLS istemci mesajında kullanıyor. Bu yöntem, el sıkışma gecikmesini 90. persentilde 150 milisaniyeden fazla azaltıyor.

AKE, Cloudflare’ın ters proxy mimarisindeki Cloudflare ile origin arasındaki ikinci TLS bağlantısını etkiliyor. Sistem, her origin için X25519, P-256, P-384, P-521 ve post-kuantum hibrit X25519MLKEM768 seçeneklerini ayrı ayrı test ediyor. Alt alan adlarını trafik hacmine göre değerlendiriyor, değişikliği önce trafiğin küçük bir bölümünde uyguluyor ve hata ya da HRR oranı yükselirse geri alıyor. Origin yapılandırmaları her gün yeniden taranıyor. Bu sayede yeni post-kuantum desteği algılandığında tercih otomatik olarak güncelleniyor.

Cloudflare’ın taradığı ilk grupta domainlerin yaklaşık yüzde 33’ü X25519MLKEM768’i tercih etmeye başladı; post-kuantum bağlantıların yüzde 99,2’si tek el sıkışma turunda tamamlandı. Post-kuantum origin bağlantılarının günlük hacmi yaklaşık 25 milyardan 45 milyara çıktı. AKE mevcut ve yeni domainlerde varsayılan olarak açık geliyor, ancak yalnızca origin sunucu ilgili algoritmayı destekliyorsa post-kuantum bağlantı kurulabiliyor. Şirket, özelliği 2029’a kadar interneti kuantum saldırılarına karşı daha dayanıklı hâle getirme planının bir parçası olarak konumlandırıyor.