Trust Store Güncellemesi

Güven deposu (trust store), bir işletim sistemi, tarayıcı veya uygulamanın güvendiği kök CA sertifikalarının listesidir. Yeni bir kök CA yayımlandığında veya eski bir kök kaldırıldığında bu liste güncellenir. Güncellemeyen eski cihazlar ve sistemler, sunucuda her şey doğru olsa bile sertifikaya güvenmeyebilir.

Ne zaman güncellemek gerekir?

• Uzun süredir güncellenmemiş Linux sunucularda ve konteyner imajlarında.
• Eski Windows, Android veya gömülü cihazlarda.
• Yeni bir CA kök sertifikası kullanılmaya başladığında.
• Kurum içi CA sertifikasını cihazlara dağıtırken.

İşletim sistemi bazında güncelleme

Debian / Ubuntu:

sudo apt-get update
sudo apt-get install --only-upgrade ca-certificates
sudo update-ca-certificates

RHEL / CentOS / Fedora:

sudo yum update ca-certificates
sudo update-ca-trust

Windows: kök sertifikalar normalde Windows Update ile otomatik gelir. Güncel kökleri elle almak için yönetici olarak certutil -generateSSTFromWU kokler.sst komutu kullanılabilir. Eksik bir kökü elle eklemek için certutil -addstore -f "Root" kok.crt yazın.

macOS ve Android: güven deposu işletim sistemi güncellemeleriyle yenilenir; çok eski sürümlerde yeni kökler hiç bulunmayabilir.

Firefox kendi deposunu kullanır; tarayıcıyı güncel tutmak gerekir.

Uygulama düzeyinde depolar

• Java kendi cacerts dosyasını kullanır.
• Python'da certifi paketi ayrı bir paketle gelir.
• Node.js kendi CA paketini taşır.
• Konteynerlerde imaj güncellenmediği sürece eski liste kalır.

Sonuç ve ipuçları

İşletim sistemi güncellemelerini düzenli alın; eskimiş cihazlarda güven deposunu yenileyemiyorsanız, sitenizin zincir yapısını bu cihazları da kapsayacak şekilde değerlendirin. Başka uygulamalarda sorun yaşıyorsanız SSL sorun giderici yardımcı olabilir; sonucu SSL kontrol aracıyla doğrulayabilirsiniz.