Keyless SSL

Keyless SSL nedir?

“Keyless SSL allows security-conscious clients to upload their own custom certificates and benefit from Cloudflare, but without exposing their TLS private keys.”

“Keyless SSL is only available to Enterprise customers that maintain their own SSL certificate purchased from a valid Certificate Authority. Cloudflare does not supply any certificates for use with Keyless SSL.”

Çözdüğü problem tek cümlede: bir CDN’in HTTPS trafiğini sonlandırabilmesi için normalde özel anahtarı ona vermen gerekiyor. Bankalar, kamu kurumları ve düzenlemeye tabi sektörler bunu yapamıyor. Keyless SSL, el sıkışmanın anahtar gerektiren tek adımını senin altyapına devrederek bu kilidi açıyor.

Nasıl çalışır?

İki bileşen

Key server: senin altyapında çalışan daemon (gokeyless), varsayılan olarak TCP 2407 dinliyor. Özel anahtar burada.

Keyless client: Cloudflare altyapısında çalışan süreç. TLS el sıkışması sırasında key server’a bir imza veya çözme isteği gönderiyor.

Tüm bağlantılar mutual TLS: “All requests are mutually authenticated, so both the client and the server need a TLS 1.2 compatible key pair.”

Protokol — hangi işlemler isteniyor

keyless_requests metriğinde görünen opcode’lar:

Bu tablo demoda doğrudan işe yarıyor: hangi opcode’un arttığını görerek istemcilerinin hangi şifreleme takımını kullandığını anlıyorsun.

Keyless Delegation — gecikmeyi kaldırmak

RFC 9345 delegated credentials kullanıyor.

“The handshakes will complete without the extra latency induced by reaching back to the Keyless Server.”

“These credentials have a short lifetime, ensuring that if you disable Keyless the credentials created will become invalid within 24 hours.”

Gereklilikler: CA’nın X509 uzantısını (OID 1.3.6.1.4.1.44363.44, NULL içerikli) desteklemesi — “Your CA may need to make code changes”.

Uyum dar: “Currently very few clients support delegated credentials… We have had success with DigiCert. Firefox 77 and later support delegated credentials.”

Gecikme — yayımlanan ve yayımlanmayan

HSM entegrasyonu

“Keyless SSL supports keys stored in a Hardware Security Module (HSM) via the PKCS#11 standard.” “any HSM supporting the standard can be used”

Test edilmiş donanım: Entrust nShield Connect · Gemalto SafeNet Luna · SoftHSMv2 · YubiKey Neo

Test edilmiş bulut: AWS CloudHSM · Azure Dedicated HSM · Azure Managed HSM · Fortanix DSM · IBM Cloud HSM · Google Cloud HSM

Ayrıca Azure Key Vault / Managed HSM ve Google Cloud KMS URI’leri destekleniyor (gokeyless 1.6.4+).

Ağ ve bağlantı

İki bağlantı seçeneği var:

1. Cloudflare Tunnel (tercih edilen) — “avoid exposing your key server to the public Internet.”

2. Public DNS — “This setup option is not ideal as the DNS record cannot be proxied and — as a result — will expose the origin IP address of your key server.”

Public DNS kullanıyorsan iki kural: hostname’i openssl rand -hex 24 ile rastgele üret, ve kaydı DNS-only (gri bulut) bırak. Birebir: “If the record is proxied, the hostname resolves to Cloudflare’s edge IP addresses instead of your key server… the Keyless SSL handshake fails.”

Desteklenen işletim sistemleri: Ubuntu 20.04/22.04/24.04 · Debian 11/12/13 · RHEL 8/9 · CentOS 8 ve Stream 9 · Amazon Linux 2 ve 2023. Mimari amd64 ve arm. Windows desteklenmiyor.

İki sertifika karışıklığı

Ne zaman kullanılır, ne zaman kullanılmaz

Kullanılır

• Mevzuat veya iç politika özel anahtarı üçüncü tarafa vermeni yasaklıyorsa. Ürünün tek varlık sebebi bu.
• Anahtarın Türkiye’de fiziksel olarak kalması şartsa. Geo Key Manager Türkiye’yi desteklemediği için başka Cloudflare yolu yok.
• Anahtarların HSM’de duruyorsa ve oradan çıkmaması gerekiyorsa. PKCS#11 desteği tam.
• Anahtar erişimini denetlenebilir kılman gerekiyorsa. Her imza isteği senin sunucundan geçiyor ve loglanabiliyor.

Kullanılmaz

TLS 1.3’e ihtiyacın varsa. Destek yok, ve bu tek başına çoğu modern projeyi eliyor.

Enterprise değilsen. Free, Pro ve Business’ta hiç yok.

Yüksek erişilebilirlik kuramayacaksan. Tek key server, sitenin yeni bağlantı kabul etmesini tek bir makineye bağlıyor. En az iki sunucu, load balancer ve tercihen anycast gerekiyor — bu ciddi bir operasyonel yük.

Anycast kuramayacaksan ve kullanıcıların dünyaya dağınıksa. Uzak bir PoP’tan gelen her el sıkışma key server’ına gidip dönüyor. Coğrafi olarak dar bir kitlen varsa (örneğin yalnızca Türkiye) bu sorun değil; global bir siteysen ciddi bir gecikme kaynağı.

RSA sertifikası kullanıyorsan ve yüksek el sıkışma hacmin varsa. Aynı çekirdek saniyede 10.000+ ECDSA imzası atarken yalnızca ~200 RSA imzası atıyor. Keyless’a geçiyorsan ECDSA’ya da geç.

Sertifikanı Cloudflare’in yönetmesini istiyorsan. Cloudflare Keyless SSL için sertifika sağlamıyor; alma, yükleme ve yenileme tamamen sende.

Windows altyapındaysan. gokeyless Windows’ta çalışmıyor.

Regional Services yetiyorsa. Sorun “trafiğim nerede deşifre ediliyor” ise Regional Services çok daha basit ve Türkiye’yi destekliyor. Keyless SSL’e yalnızca sorun “anahtarım nerede duruyor” olduğunda gerek var. Bu ayrımı yapmadan Keyless SSL’e girişmek, gereksiz bir operasyonel yük almak demek.

Somut örnekler

gokeyless kurulumu (Ubuntu)

# Paket deposu ve kurulum — sürümü resmî dokümandan doğrula
sudo apt-get update && sudo apt-get install -y gokeyless

# Anahtar dizini ve izinler
sudo install -d -o keyless -g keyless -m 0700 /etc/keyless/keys
sudo install -o keyless -g keyless -m 0400 ornek.key /etc/keyless/keys/ornek.key

Kayıt (API Token ile)

# Origin CA API Key 30 Eylül 2026'da kaldırılıyor — API Token kullan
sudo gokeyless --api-token "$CF_API_TOKEN" --initialize

Tunnel üzerinden bağlamak (tercih edilen)

# ~/.cloudflared/config.yml
tunnel: <TUNNEL_ID>
credentials-file: /root/.cloudflared/<TUNNEL_ID>.json
ingress:
  - hostname: keyserver.ic.ornek.com.tr
    service: tcp://localhost:2407
  - service: http_status:404

Public DNS kullanacaksan

# Tahmin edilemez bir hostname üret
openssl rand -hex 24
# → a3f9c1... bu değeri hostname olarak kullan

# Kayıt DNS-only (gri bulut) olmalı
curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dns_records" \
  --request POST -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{"type":"A","name":"a3f9c1...","content":"203.0.113.50","proxied":false}'

"proxied": false burada isteğe bağlı değil, zorunlu.

Güvenlik duvarı

# 2407'yi yalnızca Cloudflare IP aralıklarına aç
for ip in $(curl -sS https://www.cloudflare.com/ips-v4); do
  sudo ufw allow from "$ip" to any port 2407 proto tcp
done
# Metrik ucu yalnızca iç ağa
sudo ufw allow from 10.0.0.0/8 to any port 2406 proto tcp

Tunnel kullanıyorsan 2407’yi hiç açman gerekmiyor — asıl kazanç bu.

HSM ile

# /etc/keyless/gokeyless.yaml
private_key_stores:
  - uri: pkcs11:token=CloudHSM;object=ornek-anahtar?module-path=/opt/cloudhsm/lib/libcloudhsm_pkcs11.so&pin-value=<PIN>

Azure Key Vault ve Google Cloud KMS URI’leri de destekleniyor (gokeyless 1.6.4 ve üstü).

Demo 1: On-prem key server kurup imza isteklerini canlı saymak

Amaç: Cloudflare’in her el sıkışmada gerçekten senin sunucuna geldiğini sayaçlarla kanıtlamak.

Adım 1 — Servisi başlat ve metrik ucunu doğrula

sudo systemctl start gokeyless && sudo systemctl status gokeyless --no-pager
curl -sS http://localhost:2406/metrics | head -20

systemctl status çıktısı; active (running) ve dinlenen portlar

Adım 2 — Başlangıç sayaçlarını al

curl -sS http://localhost:2406/metrics | grep -E '^keyless_requests' | sort

keyless_requests metriğinin opcode bazında ilk değerleri

Adım 3 — Gerçek el sıkışmalar üret

# Her seferinde YENİ TLS oturumu — session reuse'u kapat
for i in $(seq 1 50); do
  echo | openssl s_client -connect ornek.com.tr:443 -servername ornek.com.tr \
    -no_ticket -sess_out /dev/null >/dev/null 2>&1
done

-no_ticket kritik: session ticket’la yeniden kullanılan oturumlar key server’a hiç gitmiyor. Bunu kapatmazsan sayaçlar kıpırdamaz ve “keyless çalışmıyor” sanırsın.

Adım 4 — Sayaçların arttığını göster

curl -sS http://localhost:2406/metrics | grep -E '^keyless_requests' | sort

keyless_requests sayaçlarının arttığı; hangi opcode'un (ECDSA veya RSA) kullanıldığı

Adım 5 — İmza süresini ölç

curl -sS http://localhost:2406/metrics \
  | grep -E 'keyless_key_operation_duration|_bucket' | head -20

Prometheus histogram bucket'ları; ECDSA ve RSA imza sürelerinin dağılımı

Kendi ölçtüğün süreyi Cloudflare’in yayımladığı referansla karşılaştır: ECDSA 22,5 µs, RSA 1,29 ms (c5.xlarge üzerinde).

Adım 6 — Uçtan uca gecikmeyi ölç

for i in $(seq 1 30); do
  curl -sS -o /dev/null -w '%{time_appconnect}\n' \
    --tlsv1.2 --tls-max 1.2 https://ornek.com.tr/
done | sort -n | awk '{a[NR]=$1} END {printf "p50=%.3fs p90=%.3fs\n", a[int(NR*0.5)], a[int(NR*0.9)]}'

Aynı ölçümü Keyless olmayan bir kontrol zone’unda tekrarla — fark, key server’a gidip dönme maliyeti.

time_appconnect p50 ve p90 değerlerinin iki zone için karşılaştırması

Bu demoda ölçülenler:

Demo 2: Key server’ı durdurup arıza davranışını kanıtlamak

Bu demonun değeri, ürünün en riskli özelliğini görünür kılması: key server yeni bağlantılar için tek nokta hata.

Adım 1 — Bir oturumu ayakta tut

# Uzun ömürlü bir bağlantı aç ve açık bırak
openssl s_client -connect ornek.com.tr:443 -servername ornek.com.tr
# (bu terminali kapatma)

Adım 2 — Key server’ı durdur

sudo systemctl stop gokeyless

systemctl stop komutu ve ardından servisin inactive durumu

Adım 3 — İki farklı sonucu yan yana göster

# (a) Açık oturum — hâlâ çalışıyor
# Adım 1'deki terminale bir HTTP isteği yaz:
#   GET / HTTP/1.1
#   Host: ornek.com.tr
# → yanıt geliyor

# (b) Yeni bağlantı — kurulamıyor
echo | openssl s_client -connect ornek.com.tr:443 -servername ornek.com.tr 2>&1 | tail -5

Açık oturumdan gelen başarılı HTTP yanıtı ve aynı anda yeni openssl bağlantısının el sıkışma hatası

Adım 4 — HA’nın farkını göster

İkinci bir key server’ı devreye al, ilkini yine durdur ve aynı testi tekrarla — bu kez yeni bağlantılar da kuruluyor.

İlk sunucu durdurulmuşken yeni TLS bağlantısının başarıyla kurulması

Adım 5 — Kademeli yükseltmeyi göster

Bir sunucu yükseltilirken devam eden istek döngüsünün hiç hata almaması

Adım 6 — PKCS#11 havuz doygunluğunu gözlemle (HSM kullanıyorsan)

# Yüksek eşzamanlılıkla el sıkışma üret
seq 1 200 | xargs -P 50 -I{} sh -c \
  'echo | openssl s_client -connect ornek.com.tr:443 -servername ornek.com.tr -no_ticket >/dev/null 2>&1'

curl -sS http://localhost:2406/metrics | grep 'cryptography error'

Yüksek eşzamanlılıkta cryptography error sayacının artması ve +Inf bucket'ındaki sıçrama

Sabit kodlu 10 saniyelik havuz zaman aşımı burada devreye giriyor. Havuz boyutunu artırıp aynı testi tekrarla.

Bu demoda ölçülenler:

Fiyatlandırma

Gerçek maliyet ücretin ötesinde

Keyless SSL’in asıl maliyeti abonelik değil, operasyon:

• En az iki key server, tercihen anycast — donanım veya bulut maliyeti
• 7/24 izleme; key server düşerse yeni ziyaretçi giremiyor
• Sertifika satın alma ve yenileme senin işin (Cloudflare sağlamıyor)
• HSM kullanıyorsan HSM maliyeti ve PKCS#11 ayarı
• Kademeli yükseltme prosedürü — sunucuları aynı anda yeniden başlatamıyorsun

Bunları karşılayamayacak bir ekip için ürün, mevzuat zorlamadıkça doğru seçim değil.

Durum

GA. Lansman 19 Eylül 2014 — bu tarih blog 429 döndürdüğü için doğrulanamadı.

Ürün bakımda ama terk edilmiş değil:

Bir dormancy sinyali: 1187 kayıtlık changelog’da Keyless SSL’e ait hiçbir ürün duyurusu yok, ve TLS 1.3 desteğinin hâlâ gelmemiş olması ürünün yenilik almadığını gösteriyor.

Lisanslama ve hukuki çerçeve

Hizmet tescillidir ve Cloudflare Hizmet Şartları’na tabidir. Sunucu tarafındaki daemon (cloudflare/gokeyless) açık kaynaktır — deponun lisansını kendi uyumluluk sürecinde doğrula.

Veri yerelliği ve Türkiye. Bu ürünün Türkiye’deki hukuki değeri sayfanın başındaki kutuda: Cloudflare’in bölge destek tablosunda Türkiye Regional Services için destekleniyor ama Geo Key Manager için desteklenmiyor. Yani:

Bu üçünü ayırt etmek önemli, çünkü çoğu uyumluluk gereksinimi aslında birincisi. Anahtarın konumu gerçekten şart koşulmuyorsa Regional Services çok daha basit bir çözüm.

Cloudflare hiçbir yerde KVKK iddiası yapmıyor. SSL ve Registrar dokümantasyonunun tamamında “KVKK” sıfır kez geçiyor. Uyumluluk değerlendirmesi tamamen sana ait.

Denetlenebilirlik. Keyless SSL’in bir yan faydası: her imza isteği senin sunucundan geçiyor ve loglanabiliyor. Özel anahtarın hangi sıklıkla, hangi işlemler için kullanıldığına dair kendi kayıtlarını tutabiliyorsun — anahtarı üçüncü tarafa verdiğin senaryolarda bu mümkün değil.

Sık yapılan hatalar

Key server DNS kaydını proxy’li bırakmak. El sıkışma başarısız oluyor; kayıt DNS-only olmalı.

Key server hostname’ini edge sertifikasının SAN’ına eklemek. Gereksiz ve iç hostname’leri CT loglarına sızdırıyor.

Auth sertifikasının SAN’ında key server hostname’ini unutmak. Mutual TLS başarısız oluyor.

2407’yi tüm internete açmak. Yalnızca Cloudflare IP aralıklarına aç — ya da Tunnel kullanıp hiç açma.

Tek key server ile üretime çıkmak. Yeni TLS bağlantıları tek makineye bağlı hale geliyor.

HA’daki sunucuları aynı anda yükseltmek. “upgrade one server at a time as new TLS connections will fail to terminate.”

Anahtarları ağ mount’undan okutup boot sırasını ayarlamamak. Servis anahtarsız kalkıyor.

İzinleri 0400 / keyless:keyless yapmamak.

TLS 1.3 beklemek. Desteklenmiyor.

origin_ca_api_key ile kalmak. 30 Eylül 2026’da kaldırılıyor.

PKCS#11 havuzunu küçük bırakıp 10 saniyelik zaman aşımına takılmak. Hata “cryptography error” diyor, asıl sebebi göstermiyor.

server_utilization metriğini izlemeye çalışmak. “Do not use it.” — hiç zaman serisi üretmiyor.

Demoda -no_ticket kullanmayı unutmak. Session ticket’la yeniden kullanılan oturumlar key server’a hiç gitmiyor; sayaçlar kıpırdamaz ve ürünün çalışmadığını sanırsın.

RSA sertifikasıyla yüksek hacme çıkmak. Aynı çekirdek saniyede 10.000+ ECDSA imzası atarken yalnızca ~200 RSA imzası atıyor.