Ders 1.53: Sertifika envanteri ve kısalan ömürler
Süresi dolmuş sertifikalar saldırı gibi görünen kesintilere yol açar ve zayıf eski sertifikalar yazıcılarda ve unutulmuş sunucularda yıllarca kalır. İkisi de neye sahip olduğunu bilmemekten gelir. Herkese açık TLS sertifikaları da kısalıyor: CA/Browser Forum'un SC-081 oylamasına göre azami ömür Mart 2026'da 200 güne düştü, Mart 2027'de 100 güne ve Mart 2029'da 47 güne düşecek; bu da elle yenilemeyi imkânsız kılıyor. Laboratuvarda Northwind'in sertifika envanterini openssl ile tarıyorsun: neyin süresi doldu, ne 30 gün içinde doluyor, hangileri zayıf anahtar ya da SHA-1 kullanıyor ve hangileri hâlâ elle yenileniyor.
16 dk
Bu derste öğreneceklerin
- Sertifika envanterlerinin neden önemli olduğunu açıklamak
- -checkend ile süresi dolmuş ve dolmak üzere olan sertifikaları bulmak
- Zayıf anahtarları ve SHA-1 imzalarını fark etmek
- CA/B Forum geçerlilik kısaltmalarını açıklamak
- Otomasyon (ACME) planlamak
Temel terimler
- Sertifika envanteri
- Kullanılan her sertifikanın listesi: nerede, sahibi, vereni, süre sonu, algoritma, yenileme yöntemi.
- -checkend N
- openssl x509 seçeneği: sertifika N saniye içinde doluyorsa 1 ile çık.
- ACME
- Otomatik Sertifika Yönetim Ortamı (RFC 8555): otomatik verme ve yenileme protokolü.
- CA/Browser Forum
- Herkese açık TLS sertifikaları için Temel Gereksinimleri belirleyen CA'lar ve tarayıcı üreticileri topluluğu.
- SHA-1 imzası
- Pratik çakışmalarla kırılmış (SHAttered, 2017) SHA-1 ile sertifika imzaları; tarayıcılar kabul etmez.
← Rastgelelik ve anahtarlar · Tüm dersler · Bir kenar cihazında sıfırıncı gün →