Halaman ini diterjemahkan oleh Cloud Translation API.

Cara menyiapkan Signed HTTP Exchanges (SXG) menggunakan nginx

Cara membuat sertifikat TLS dengan ekstensi SXG, menginstal alat untuk menghasilkan file SXG, dan mengonfigurasi nginx untuk menyalurkan file SXG.

Hiroki Kumazaki

Signed HTTP Exchanges (SXG) adalah teknologi web baru yang memudahkan pengguna membedakan kreator konten dari distributor konten. Panduan ini menunjukkan cara menyiapkan SXG.

Dukungan lintas browser

Beberapa browser berbasis Chromium mendukung SXG, termasuk Google Chrome, Samsung Internet, dan Microsoft Edge. Lihat bagian Konsensus dan Standardisasi di HTTP Exchange yang Ditandatangani Origin untuk mendapatkan informasi terbaru.

Prasyarat

Untuk menerapkan SXG di situs, Anda harus:

Memiliki kontrol atas domain Anda, termasuk entri DNS.
Dapatkan sertifikat. SXG mewajibkan penerbitan sertifikat khusus. Khususnya, Anda tidak dapat menggunakan kembali kunci atau sertifikat TLS.
Memiliki server HTTP yang dapat membuat dan menayangkan SXG melalui HTTPS.

Asumsi

Panduan ini mengasumsikan bahwa Anda:

Memiliki lingkungan OpenSSL 1.1.1. Panduan ini ditulis dengan Ubuntu 18.04 LTS pada amd64 ISA.
Memiliki kemampuan menjalankan sudo untuk menginstal file yang dapat dieksekusi.
Gunakan nginx sebagai server HTTP.
Menggunakan DigiCert untuk membuat sertifikat yang menyertakan ekstensi terkait SXG, karena saat ini tampaknya DigiCert menjadi satu-satunya penyedia yang mendukung ekstensi ini.

Selain itu, contoh perintah dalam artikel ini mengasumsikan domain Anda adalah website.test, sehingga Anda harus mengganti website.test dengan domain Anda yang sebenarnya.

Langkah 1: Dapatkan sertifikat SXG

Untuk membuat SXG, Anda memerlukan sertifikat TLS dengan ekstensi CanSignHttpExchanges, serta jenis kunci tertentu. DigiCert menyediakan sertifikat dengan ekstensi ini. Anda memerlukan file CSR untuk penerbitan sertifikat, jadi buat file tersebut dengan perintah berikut:

openssl ecparam -genkey -name prime256v1 -out mySxg.key
openssl req -new -key mySxg.key -nodes -out mySxg.csr -subj "/O=Test/C=US/CN=website.test"

Anda akan mendapatkan file CSR yang terlihat seperti berikut:

Pastikan:

Periode validitas tidak lebih dari 90 hari.
Kotak centang Include the CanSignHttpExchanges extension in the certificate diaktifkan, yang ditemukan di bagian Opsi Sertifikat Tambahan.

Kotak centang **Sertakan ekstensi CanSignHttpExchanges dalam sertifikat**.

Jika sertifikat Anda tidak cocok dengan kondisi ini, browser dan distributor akan menolak SXG Anda untuk alasan keamanan. Panduan ini mengasumsikan bahwa nama file sertifikat yang Anda dapatkan dari DigiCert adalah mySxg.pem.

Langkah 2: Instal `libsxg`

Format SXG kompleks dan sulit dibuat tanpa menggunakan alat. Anda dapat menggunakan salah satu opsi berikut untuk membuat SXG:

Alat gen-signedexchange yang ditulis dalam Go.
Library libsxg yang ditulis dalam C.

Panduan ini menggunakan libsxg.

Opsi 1: Instal `libsxg` dari paket Debian

Anda dapat menginstal paket dengan cara Debian biasa, selama versi OpenSSL (libssl-dev) cocok.

sudo apt install -y libssl-dev
wget https://github.com/google/libsxg/releases/download/v0.2/libsxg0_0.2-1_amd64.deb
wget https://github.com/google/libsxg/releases/download/v0.2/libsxg-dev_0.2-1_amd64.deb
sudo dpkg -i libsxg0_0.2-1_amd64.deb
sudo dpkg -i libsxg-dev_0.2-1_amd64.deb

Opsi 2: Build `libsxg` secara manual

Jika tidak menggunakan lingkungan yang kompatibel dengan file .deb, Anda dapat membuat libsxg sendiri. Sebagai prasyarat, Anda harus menginstal git, cmake, openssl, dan gcc.

git clone https://github.com/google/libsxg
mkdir libsxg/build
cd libsxg/build
cmake .. -DRUN_TEST=false -DCMAKE_BUILD_TYPE=Release
make
sudo make install

Langkah 3: Instal plugin `nginx`

Plugin nginx memungkinkan Anda membuat SXG secara dinamis, bukan membuatnya secara statis sebelum penayangan.

Opsi 1: Instal plugin dari paket Debian

Modul SXG untuk nginx didistribusikan di GitHub. Pada sistem berbasis Debian, Anda dapat menginstalnya sebagai paket biner:

sudo apt install -y nginx=1.15.9-0
wget https://github.com/google/nginx-sxg-module/releases/download/v0.1/libnginx-mod-http-sxg-filter_1.15.9-0ubuntu1.1_amd64.deb
sudo dpkg -i libnginx-mod-http-sxg-filter_1.15.9-0ubuntu1.1_amd64.deb

Opsi 2: Build plugin secara manual

Pembuatan modul nginx memerlukan kode sumber nginx. Anda bisa mendapatkan tarball dan membangunnya bersama dengan modul dinamis SXG menggunakan perintah di bawah ini:

git clone https://github.com/google/nginx-sxg-module
wget https://nginx.org/download/nginx-1.17.5.tar.gz
tar xvf nginx-1.17.5.tar.gz
cd nginx-1.17.5
./configure --prefix=/opt/nginx --add-dynamic-module=../nginx-sxg-module --without-http_rewrite_module --with-http_ssl_module
make
sudo make install

Konfigurasi nginx memiliki fleksibilitas tinggi. Instal nginx di mana saja di sistem Anda, lalu tentukan jalur module/config/log/pidfile masing-masing. Panduan ini mengasumsikan bahwa Anda menginstalnya ke /opt/nginx.

Langkah 4: Konfigurasikan plugin `nginx` agar berfungsi dengan SXG

Opsi 1: Mengonfigurasi modul `nginx` yang diinstal dari Debian

Ikuti petunjuk ini jika Anda menggunakan Langkah 3, Opsi 1 sebelumnya.

Mengirimkan konten SXG memerlukan HTTPS. Anda bisa mendapatkan sertifikat SSL/TLS dari DigiCert, Let's Encrypt, dan layanan lainnya. Perhatikan bahwa Anda TIDAK DAPAT menggunakan sertifikat SXG untuk SSL atau sebaliknya, oleh karena itu Anda memerlukan dua sertifikat. File konfigurasi di /etc/nginx/nginx.conf akan terlihat seperti berikut, dengan asumsi bahwa Anda menempatkan pasangan kunci/sertifikat SSL di /path/to/ssl/ dan pasangan kunci/sertifikat SXG di /path/to/sxg/:

user www-data;
include /etc/nginx/modules-enabled/*.conf;

events {
     worker_connections 768;
}

http {
    include       mime.types;
    default_type  application/octet-stream;
    add_header  X-Content-Type-Options nosniff;

    server {
        listen 443 ssl;
        ssl_certificate     /path/to/ssl/fullchain.pem;
        ssl_certificate_key /path/to/ssl/privkey.pem;
        server_name  website.test;

        sxg on;
        sxg_certificate     /path/to/sxg/mySxg.pem;
        sxg_certificate_key /path/to/sxg/mySxg.key;
        sxg_cert_url        https://website.test/certs/cert.cbor;
        sxg_validity_url    https://website.test/validity/resource.msg;
        sxg_cert_path       /certs/cert.cbor;

        root /var/www/html;
    }
}

sxg_cert_url penting agar browser memuat SXG dengan benar karena menemukan rantai sertifikat. Rantai sertifikat berisi sertifikat dan informasi stapling OCSP dengan format cbor. Perhatikan bahwa Anda tidak harus menayangkan file cert.cbor dari origin yang sama. Anda dapat menayangkannya melalui CDN atau layanan penayangan file statis lainnya selama mendukung HTTPS.
sxg_validitiy_url direncanakan untuk menayangkan informasi terkait header SXG-signature-header. Jika halaman belum diubah sejak SXG terakhir, mendownload seluruh file SXG secara teknis tidak diperlukan. Jadi, memperbarui informasi header saja diharapkan dapat mengurangi lalu lintas jaringan. Namun, detailnya belum diterapkan.

Mulai nginx dan Anda siap menayangkan SXG.

sudo systemctl start nginx.service
curl -H"Accept: application/signed-exchange;v=b3" https://website.test/ > index.html.sxg
cat index.html.sxg
sxg1-b3...https://website.test/...(omit)

Opsi 2: Mengonfigurasi modul `nginx` bawaan dari sumber

Ikuti petunjuk ini jika Anda menggunakan Langkah 3, Opsi 2 sebelumnya.

Konfigurasikan sistem nginx Anda yang diinstal di /opt/nginx agar terlihat mirip dengan contoh berikut:

load_module "/opt/nginx/modules/ngx_http_sxg_filter_module.so";

events {
    worker_connections 768;
}

http {
    include       mime.types;
    default_type  application/octet-stream;
    add_header X-Content-Type-Options nosniff;

    server {
        listen 443 ssl;
        ssl_certificate     /path/to/ssl/fullchain.pem;
        ssl_certificate_key /path/to/ssl/privkey.pem;
        server_name  example.com;

        sxg on;
        sxg_certificate     /path/to/sxg/mySxg.pem;
        sxg_certificate_key /path/to/sxg/mySxg.key;
        sxg_cert_url        https://website.test/certs/cert.cbor;
        sxg_validity_url    https://website.test/validity/resource.msg;
        sxg_cert_path       /certs/cert.cbor;

        root /opt/nginx/html;
    }
}

Lalu mulai nginx. Sekarang Anda bisa mendapatkan SXG!

cd /opt/nginx/sbin
sudo ./nginx
curl -H "Accept: application/signed-exchange;v=b3" https://website.test/ > index.html.sxg
less index.html.sxg
sxg1-b3...https://website.test/...(omit)

Langkah 5: Inferensikan backend aplikasi

Pada contoh di atas, nginx menyalurkan file statis di direktori root, tetapi Anda dapat menggunakan perintah upstream untuk aplikasi Anda guna membuat SXG bagi backend aplikasi web arbitrer (seperti Ruby on Rails, Django, atau Express) selama nginx Anda berfungsi sebagai server HTTP(S) depan.

upstream app {
    server 127.0.0.1:8080;
}

server {
    location / {
        proxy_pass http://app;
    }
}

Langkah 6: Uji

Menggunakan alat dump-signedExchange untuk menguji apakah SXG yang ditayangkan sudah benar, memastikan tidak ada error yang dilaporkan, dan memverifikasi bahwa header dan isi seperti yang diharapkan.

go get -u github.com/WICG/webpackage/go/signedexchange/cmd/dump-signedexchange
export PATH=$PATH:~/go/bin
dump-signedexchange -verify -uri https://website.test/ | less

Kirim masukan

Engineer Chromium yang menangani SXG ingin mendengar masukan Anda di webpackage-dev@chromium.org. Anda juga dapat bergabung dalam diskusi spesifikasi, atau melaporkan bug ke tim. Masukan Anda akan sangat membantu proses standardisasi dan juga membantu mengatasi masalah penerapan. Terima kasih!