TLS sertifikası yenilemek yıllarca senede bir hatırlanan bir işti. Sertifika alınır, takvime bir hatırlatma eklenir ve bir sonraki yıla kadar unutulurdu. Bu dönem resmen kapanıyor.
Sertifika otoriteleri ile tarayıcı üreticilerinin ortak kurallar belirlediği CA/Browser Forum, herkese açık (public) TLS sertifikalarının azami geçerlilik sürelerinin kademeli olarak kısaltılmasını onayladı. Bugün 398 gün olan üst sınır önümüzdeki yıllarda önce 200 güne, ardından 100 güne, 2029'da ise 47 güne inecek. Alan adı doğrulamasının (domain validation) tekrar kullanım süreleri de aynı takvimle kısalıyor.
Başka bir deyişle: bugün yılda bir yenilediğiniz bir sertifikayı, on yılın sonunda kabaca altı haftada bir yenilemeniz gerekecek.
Bu değişiklik neden yapılıyor?
Bunun sebebi tarayıcıların hayatı zorlaştırma isteği değil. Kararın arkasında iki sağlam güvenlik gerekçesi var.
Daha küçük bir risk penceresi. Bir özel anahtar sızdığında ya da bir sertifika hatalı üretildiğinde teoride devreye iptal (revocation) mekanizması girer. Pratikte ise iptal kontrolü hiçbir zaman güvenilir çalışmadı; birçok istemci bu kontrolü tamamen atlıyor. Zararı gerçekten sınırlayan tek mekanizma sertifikanın kendi ömrünün dolması. Çalınan bir sertifikanın 47 gün içinde geçersizleşmesi, bir yıl boyunca geçerli kalmasından çok daha küçük bir problemdir.
Daha hızlı kripto çevikliği. Sektör zayıf bir algoritmadan, kullanımdan kalkan bir kök sertifikadan veya hatalı bir doğrulama yönteminden uzaklaşmak istediğinde, geçiş ancak dolaşımdaki en eski sertifikanın ömrü dolduğunda tamamlanabiliyor. Kısa ömürler, tüm ekosistemin yeni kriptografiye yıllar yerine haftalar içinde dönebilmesi demek. Bu özellik yakında çok daha önemli hale gelecek — post-kuantum kısmında buna döneceğiz.
47 günde neler kırılır?
Birçok kurum sertifikalarını hâlâ on yıl önceki yöntemlerle yönetiyor: son kullanma tarihlerinin tutulduğu bir Excel tablosu, CA'den gelen hatırlatma e-postaları için ortak bir posta kutusu ve "sertifikaların nerede olduğunu bilen" tek bir mühendis.
Bu süreç yılda bir yenilemede bile zor ayakta duruyor. Sertifika başına yılda sekiz yenilemede ise tamamen çöker:
- Tablo her zaman günceldir sanılır, asla güncel değildir. Cuma akşamı aceleyle yapılan yenileme tabloya işlenmez; test sistemi için "geçici" üretilen sertifika ise tabloya hiç girmez.
- Yenileme ritüeli bitmeyen bir koşu bandına dönüşür. CSR üretmek, talep açmak, onay beklemek, dosyaları indirmek, format dönüştürmek, üç sunucuya dağıtmak, servisleri yeniden başlatmak... Bunu her sertifika için 47 günde bir tekrarladığınızı düşünün.
- Unutulan sertifikalar kesintiye dönüşür. Bu teorik bir risk değil. Son yılların en görünür kesintilerinin bir kısmının kaynağı, süresi dolan tek bir sertifikaydı: Microsoft Teams 2020'de tam olarak bu sebeple dünya genelinde saatlerce erişilemez kaldı; 2018'de Ericsson ekipmanlarındaki süresi dolmuş bir sertifika, birden fazla ülkede milyonlarca kullanıcının mobil veri bağlantısını kesti. Yıllık tempo bile bu kazaları üretebiliyorsa, manuel süreçlerle 47 günlük tempo çok daha fazlasını üretir.
İşin ölçeğini de küçümsememek gerek. "Kaç sertifikamız var?" sorusuna verilen ilk cevap neredeyse her zaman gerçeğin altındadır: ana alan adları akla gelir; ama alt alan adları, yük dengeleyicilerdeki kopyalar, iç servisler, API uç noktaları ve test ortamları hesaba katılmaz. Yenileme sıklığı sekiz katına çıktığında, bu görünmeyen sertifikaların her biri potansiyel bir gece yarısı kesintisidir.
Rahatsız edici gerçek şu: manuel sertifika yönetimi 47 günlük ömürlere ölçeklenemez. Bu değişiklik otomasyonu fiilen zorunlu hale getiriyor.
Modern bir sertifika süreci nasıl görünür?
Bu işi iyi yöneten ekipler aşağı yukarı aynı hattı kuruyor.
1. Otomatik keşif. Göremediğiniz sertifikayı yenileyemezsiniz. Keşif iki yöntemi birleştirir: ağ taraması ile IP aralıklarınızdaki ve portlarınızdaki TLS uç noktalarını bulmak, sunucuların sertifika depolarını doğrudan okuyarak ağ kenarına hiç çıkmayan iç sertifikaları da yakalamak. Çıktı bir Excel tablosu değil, kendini güncel tutan canlı bir envanterdir.
2. Protokol tabanlı sertifika üretimi. Let's Encrypt'in arkasındaki standart olan ve bugün ticari CA'lerin çoğunun da desteklediği ACME protokolü, sunucuların sertifikayı otomatik talep edip doğrulayıp teslim almasını sağlar. İç PKI tarafında aynı otomasyon AD CS veya özel bir CA üzerinden kurulur.
3. Onaya bağlı üretim. Otomasyon başıboşluk demek değildir. Kritik alan adları için sertifika talepleri, üretim gerçekleşmeden önce bir onay akışından geçmelidir. Böylece güvenlik ekibi darboğaz olmadan kontrolü elinde tutar.
4. Otomatik dağıtım. Sertifikayı üretmek işin yarısıdır; kesinti, sertifika sunucuya hiç ulaşmadığında yaşanır. Yenilenen sertifikalar nginx, Apache ve IIS'e otomatik dağıtılmalı, servisler otomatik yeniden yüklenmelidir — talep yok, SSH oturumu yok, gece yarısı kopyala-yapıştır yok.
5. Emniyet kemeri olarak son kullanma takibi. Tam otomasyonda bile izleme şart. Yaklaşan son kullanma tarihleri ve başarısız yenilemeler için üretilen alarmlar, uç durumları müşterileriniz fark etmeden önce yakalar.
Post-kuantum saati de işliyor
Kısa ömürler aslında çok daha büyük bir geçişin hazırlığı. NIST, ilk post-kuantum kriptografi algoritmalarını 2024'te standartlaştırdı ve bu algoritmalara geçiş artık her ciddi güvenlik programının yol haritasında. Bunun önemli bir sebebi "harvest now, decrypt later" tehdidi: saldırganlar şifreli trafiği bugünden kaydediyor ki kuantum bilgisayarlar yeterli güce ulaştığında çözebilsinler.
Tüm sertifikalarını 47 günde bir döndürebilen bir kurum, algoritma değiştirme zamanı geldiğinde ihtiyaç duyacağı kripto çevikliğine neredeyse bedavaya sahip olur. Hâlâ elle yenileyen bir kurum ise sahip olamaz.
Sertifikalar birer makine kimliğidir
Bir bakış açısı değişikliğiyle bitirelim. Sertifika, tarayıcıdaki kilit simgesinden ibaret değildir; bir makinenin veya iş yükünün kimliğidir. Tipik bir kurumda makine kimliklerinin sayısı, insan kimliklerini artık açık farkla geçiyor: her sunucu, container, yük dengeleyici ve servisler arası bağlantı bir sertifika taşıyor.
Böyle bakınca sertifika yönetiminin kimlik güvenliğiyle birleşmesi gayet doğal. Ayrıcalıklı erişim yönetimi platformları insanların ve servis hesaplarının kimlik bilgilerini zaten yönetiyor; sertifika yaşam döngüsü yönetimi aynı disiplini — envanter, sahiplik, rotasyon, denetim — makine kimliklerine taşıyor.
Monopam'in Certificate Manager modülünün yaklaşımı tam olarak bu: ağ ve sunucu depoları üzerinde otomatik keşif; ACME, AD CS veya yerleşik CA ile sertifika üretimi; nginx, Apache ve IIS'e agent gerektirmeyen yenile-ve-dağıt otomasyonu — üstelik onay akışları ve son kullanma takibi, ayrıcalıklı erişimlerinizi zaten yöneten platformun içinde.
47 gün dönemi, otomasyona erken geçen ekipleri ödüllendirecek. Sertifika envanteriniz hâlâ bir Excel tablosunda yaşıyorsa, o tabloyu emekli etmek için doğru yıl bu yıl.
