Sertifika envanteri nasıl çıkarılır: keşif, sahiplik, kayıt

Keşif yöntemleri

Ağ taraması

Belirli IP aralıklarında TLS konuşan portlar taranır, sunulan sertifika okunur. Kurum içi uçları bulmanın en doğrudan yolu; yalnız okuma yapar, sisteme dokunmaz.

Sertifika Şeffaflığı (CT)

Tarayıcıların güvendiği her sertifika herkese açık CT günlüklerine yazılır (RFC 9162). crt.sh gibi araçlarla bir alan adı için verilmiş bütün sertifikalar listelenir; unutulmuş ya da izinsiz ihraçlar ortaya çıkar.

DNS ve bulut envanteri

DNS bölgeleri ve bulut hesapları, taranması gereken adları verir.

Yapılandırma yönetimi

Sunucu yapılandırma dosyalarındaki sertifika yolları, aynı sertifikanın kaç yerde kurulu olduğunu gösterir.

Her kayıtta olması gerekenler

Kimlik

SHA-256 parmak izi; aynı alan adı için verilmiş sürümleri ayırır.

Alan adları

CN ve SAN listesi.

Veren ve zincir

Otorite, ara sertifika, kök. Zincirin eksik sunulması sık görülen bir hatadır.

Süre

Bitiş tarihi ve uyarı eşiği.

Kurulu olduğu yerler

Sistem, port, dosya yolu ya da nesne adı; bir sertifika birden çok yerde olabilir.

Sahip ve yenileme yolu

Sorumlu ekip; ACME ile mi, elle mi yenileniyor.

Sık görülen tuzaklar

• Aynı sertifika üç yerde kurulu, bir yerde yenilenmiş: eski sürüm hâlâ sunuluyor.
• Süresi dolmuş sertifika hâlâ sunuluyor ama kimse fark etmiyor; istemciler doğrulamayı kapatmış.
• Zincir eksik: masaüstü tarayıcı çalışıyor, mobil uygulama ya da API istemcisi hata veriyor.
• Kendinden imzalı ve kurum içi sertifikalar envanterde yok; sürelerini kimse takip etmiyor.

Standart ve rehberler

NIST'in SP 1800-16 rehberi, TLS sunucu sertifikası yönetimini kurumsal bir program olarak tanımlar: envanter, sahiplik, otomasyon, izleme ve olay müdahalesi.

• Envanter tamamlanmadan otomasyon başlatılmaz.
• Her sertifikanın bir sahibi ve bir yenileme yöntemi olur.
• Sürelerin kısalması elle süreçleri ölçeklenemez kılar; rehber açıkça otomasyonu önerir.