Özel anahtarın ele geçirildiğinden şüphelendiğiniz anda sertifikaya artık güvenilemez: anahtara sahip kişi sunucunuzu taklit edebilir veya şifreli trafiği çözebilir. Bu durumda beklemek yerine sertifikayı iptal etmek ve anahtarı değiştirmek gerekir.
Şüphe belirtileri
- Anahtar dosyasının yetkisiz erişim veya yanlışlıkla herkese açık bir klasörde (depo, yedek) görülmesi.
- Sunucunun ele geçirildiğine dair izler.
- Anahtara erişimi olan bir çalışanın ayrılması ve erişimlerin kapatılmamış olması.
- Kimlik doğrulaması olmayan bir kaynağa anahtarın gönderilmesi.
Adım adım müdahale
- Kapsamı belirleyin: aynı anahtarı kullanan tüm sertifikaları ve sunucuları listeleyin.
- Yeni anahtar ve CSR üretin: eski anahtarı yeniden kullanmayın.
openssl req -new -newkey rsa:2048 -nodes -keyout yeni.key -out yeni.csr - Sertifikayı yeniden düzenletin (reissue): yeni CSR ile CA'dan yeni sertifika alın. Müşteri özel anahtarı bizde saklanmadığı için CSR'ı sizin üretmeniz gerekir; bu, güvenlik açısından da doğru olandır.
- Yeni sertifikayı kurun ve tüm düğümlerde doğrulayın.
- Eski sertifikanın iptalini talep edin: iptal nedeni olarak "key compromise" bildirimi yapılır. İptal işlemi CA üzerinden yürür.
- Eski anahtarı güvenli biçimde silin ve erişim listelerini gözden geçirin.
İncelenmesi gerekenler
- Erişim günlükleri: anahtarı kim, ne zaman okudu?
- Sertifika şeffaflık kayıtları: alan adınız için beklenmedik sertifika verilmiş mi?
- Aynı parolaların başka sistemlerde kullanılması.
Önleme
- Anahtarı yalnızca gereken sunucuda tutun, deponun içine koymayın.
- Dosya izinleri kısıtlı olsun (
chmod 600). - Kritik ortamlarda donanım güvenlik modülü (HSM) düşünün.
İptal durumunda hızlı hareket etmek için Türkçe teknik destek ekibimize başvurabilirsiniz. Yeni bir sertifika gerekirse SSL sertifikaları sayfasına bakın.
İletişim ve kayıt
Olayı zaman çizelgesiyle kayda alın: şüphe ne zaman doğdu, anahtar ne zaman değiştirildi, iptal ne zaman istendi. Müşteri verisi etkilenmiş olabilecekse hukuk ve bilgi güvenliği ekibine vakit kaybetmeden bildirin. İptal edilen sertifikanın istemcilerde hemen reddedilmesi, iptal denetimi (OCSP/CRL) yapan istemcilere bağlıdır; bu yüzden yeni sertifikayı mümkün olan en kısa sürede yaymak kritik önemdedir.