Anahtar rotasyonu, bir sertifikanın özel anahtarını düzenli aralıklarla yenilemek demektir. Amaç, anahtarın sızmış olma ihtimalinin yaratacağı zarar süresini kısaltmaktır.
Neden rotasyon?
Özel anahtar yedeklerde, eski sunucularda veya ayrılan çalışanların erişebildiği yerlerde kalabilir. Aynı anahtarı yıllarca kullanmak, sızıntıyı fark etmeden saldırganın trafiği çözmesine veya sunucuyu taklit etmesine imkân verir. Sertifika ömürleri kısaldıkça her yenilemede yeni anahtar üretmek doğal bir pratik haline gelir.
Rotasyon stratejisi
- Her yenilemede yeni anahtar: Yenileme sırasında eski CSR'ı yeniden kullanmayın; yeni bir anahtar ve CSR üretin.
- Yeni anahtar ve CSR üretimi:
openssl genrsa -out yeni.key 2048 openssl req -new -key yeni.key -out yeni.csrAlternatif olarak ECDSA için
openssl ecparam -genkey -name prime256v1 -noout -out yeni.keykullanılabilir. Kolay yoldan CSR üretmek için CSR oluşturucuyu da kullanabilirsiniz. - Sertifikayı kurun ve test edin: Yeni sertifikayı sunucuya yükleyip eşleşmeyi doğrulayın.
- Eskisini güvenle imha edin: Eski anahtarı yedeklerden ve sunuculardan silin.
Anahtar-sertifika eşleşmesini doğrulama
openssl x509 -noout -modulus -in sertifika.crt | openssl md5
openssl rsa -noout -modulus -in yeni.key | openssl md5İki çıktı aynı olmalıdır. Farklıysa sunucu başlamaz veya el sıkışma başarısız olur.
Kesintisiz geçiş için ipuçları
- Yenilemeyi bitiş tarihinden önce, yeterli boşlukla planlayın.
- Yük dengeleyici arkasındaki tüm düğümlerde aynı anda güncelleme yapın.
- Anahtar sızıntısından şüphelenirseniz yenilemeyi beklemeyin; sertifikayı yeniden düzenletip (reissue) eskisinin iptalini CA'dan talep edin.
- Sertifika pinning kullanıyorsanız istemcileri yeni anahtara hazırlamak için yedek pin bulundurun.
- Özel anahtarları sunucu dışında paylaşmayın; dosya izinlerini
600ile kısıtlayın.
Yeni sertifika sonrası SSL Checker ile kurulumu doğrulamayı unutmayın. Özetle düzenli rotasyon, kısa ömürlü anahtar yönetiminin en basit ve etkili savunmasıdır.