Caddy 2.10 ウェブサーバーが強化された TLS プライバシーを発表

Caddy 2.10のウェブおよびリバースプロキシサーバーは、ECH、ポスト量子鍵交換、グローバルDNS設定、デフォルトでのワイルドカード証明書のサポートを備えて登場しました。

前回の2.9リリースから3ヶ月以上が経過し、Goで書かれた人気のオープンソースウェブおよびリバースプロキシサーバーであるCaddyの背後にいるチームが、セキュリティ志向の機能を多数搭載したバージョン2.10を正式に発表しました。

主なハイライト - Caddyは現在、暗号化されたClientHello（ECH）への完全自動サポートを提供しています。ECHは、真のサーバー名（SNI）を外側の一般的なClientHelloの中に隠し、SNIのスニッフィングに依存する受動的観察者を困惑させます。

実際には、管理者は公開の「外部」ドメインを設定し、Caddyを互換性のあるDNSプロバイダーにポイントするだけで済みます。その後、サーバーは裏でECH設定レコードを生成、公開し、必要に応じて回転させます。名前ベースのトラフィック分析やマルチテナントのプライバシーを懸念する組織にとって、これは非常に重要なことです。

並行して、サーバーは現在、X25519MLKEM768ハイブリッドグループをデフォルト設定としています。この古典的な楕円曲線Diffie-HellmanとML-KEM-768（新しいNIST FIPS 203アルゴリズム）の組み合わせは、すべての新しいセッションに対して、古典的および量子の敵に対して前方秘匿性を提供し、今日のクライアントとの互換性も確保しています。

Caddy 2.10は、管理者が標準外の有効期間（例えば、Let's Encryptの6日間のテスト証明書）やその他の特注のプロパティを持つ証明書を要求できる実験的なACME「プロファイル」メカニズムをも発表しています。同時に、ワイルドカード証明書はデフォルトで個々のホスト証明書よりも優先されるようになりました。

運用の改善が見出しの暗号化を補完します。リバースプロキシは、サーバーを複製する代わりにViaヘッダーを挿入し、下流診断のための曖昧さを減らします。管理者は、ACMEチャレンジやECH公開における認証情報の重複を排除するために、単一のグローバルDNSプロバイダーを定義することができます。

最後に、Caddyプロジェクトは、Goの最新のマイナーバージョンのみを追跡する方針を改訂しました。メンテイナーたちは、新しいGoバージョンには量子耐性プライミティブを含むセキュリティ機能がますます組み込まれており、幅広い採用が複数のコードパスを維持するコストを上回ると主張しています。

詳細については、変更ログを参照してください。