Kısa Ömürlü Sertifikalarla Ayrıcalıklı Erişim

Sunucu erişiminde en zayıf halka çoğu zaman saldırgan değil, yıllarca yaşayan anahtarlardır. Ayrıcalıklı hesaplar için paylaşılan SSH key’ler, kimin ne zaman eriştiğini belirsizleştirir; anahtar sızıntısı olduğunda kapsamı daraltmak zorlaşır. Kısa ömürlü sertifikalarla erişim tasarlamak, bastion host mantığını tamamen ortadan kaldırmasa bile erişimi süre, kimlik ve amaç bazında çok daha kontrollü hâle getirir.

Neden kalıcı anahtar modeli sorunlu?

Kalıcı anahtar kullanımı küçük ekiplerde pratik görünür. Ancak kurumsal ölçekte şu sorunları üretir:

• Ayrıcalıklı erişim geri alma süresi uzar.
• Anahtar paylaşımı veya kopyalanması kolaydır.
• Erişim gerekçesi ile teknik erişim birbirinden kopar.
• Incident sonrası hangi oturumun kime ait olduğu netleşmeyebilir.

Özellikle çok sayıda tedarikçi, operasyon ekibi veya geçici erişim ihtiyacı olan yapılarda bu model sürdürülebilir değildir.

Kısa ömürlü sertifika modeli nasıl çalışır?

Temel akış basittir:

1. Kullanıcı merkezi kimlik sistemiyle doğrulanır.
2. Ayrıcalıklı erişim talebi policy üzerinden değerlendirilir.
3. Onay sonrası birkaç dakikalık veya saatlik SSH sertifikası üretilir.
4. Sunucu, yalnızca güvenilir CA tarafından imzalanmış sertifikaları kabul eder.

Böylece erişim hakkı, cihaza dağıtılmış statik anahtarlarla değil, anlık yetkilendirme kararıyla verilir.

Bu model hangi bileşenleri gerektirir?

Tam kurumsal çözüm ürün seçimine göre değişir; ama bileşen mantığı benzerdir:

• Merkezî kimlik sağlayıcı
• Politika veya erişim onay katmanı
• SSH CA veya sertifika imzalama servisi
• Hedef sunucularda CA güven zinciri
• Oturum ve komut kayıt görünürlüğü

Bu yapı sayesinde kullanıcı hesabı devre dışı kaldığında, yeni sertifika üretilmediği için erişim fiilen kapanır.

Host production-*
  User ops
  CertificateFile ~/.ssh/id_ed25519-cert.pub
  IdentityFile ~/.ssh/id_ed25519

Sunucu tarafında ne değişir?

Hedef host’larda her kullanıcı için tek tek public key tutmak yerine, güvenilen CA tanımlanır. Böylece kullanıcı değişimi host bazında değil merkezi imzalama zincirinde yönetilir. Operasyonel olarak bu, özellikle yüzlerce Linux sunucuda ciddi sadelik sağlar.

Bu modelin önemli avantajları:

• Host üstündeki authorized_keys karmaşasını azaltır.
• Geçici erişim taleplerini otomasyona bağlar.
• Kimlikten erişim kararına kadar zinciri denetlenebilir yapar.
• Ayrıcalıklı erişimi süre ve rol bazında sınırlar.

Geçiş sırasında en sık hata nedir?

Bazı ekipler kısa ömürlü sertifika modeline geçerken eski kalıcı anahtarları da “yedek olsun” diye bırakır. Bu durumda sistem güvenli görünür ama fiilen iki ayrı erişim modeli yaşamaya devam eder. Geçiş planında hangi host grubunda hangi tarihten itibaren yalnızca sertifika kabul edileceği açık şekilde tanımlanmalıdır.

Nereden başlanmalı?

En uygun başlangıç alanı, yüksek riskli ama kullanıcı sayısı sınırlı erişimlerdir:

• Production Linux yönetim hesapları
• Ağ cihazı yönetim erişimi
• ERP veya batch altyapısındaki zıplama hesapları

Bu gruplarda başarı sağlandığında model diğer yönetim düzlemlerine genişletilebilir.

Sonuç

Kısa ömürlü sertifikalarla ayrıcalıklı erişim tasarımı, “SSH key dağıtıp unutma” alışkanlığını kırar. Ayrıcalıklı erişimin kimlik, süre ve onay bağlamıyla birlikte verilmesi; güvenlik ekipleri için denetlenebilirlik, operasyon ekipleri içinse daha kontrollü bir yaşam döngüsü üretir. Büyük altyapılarda güvenliğin kalıcı parçası olmak istiyorsanız, erişim hakkını kalıcı anahtar değil geçici güven kararı üzerinden vermek daha doğru yoldur.