Zero Trust, "ağın içindeki her şey güvenilirdir" varsayımını bırakıp her isteği kimlik, cihaz ve bağlama göre doğrulayan bir güvenlik yaklaşımıdır. TLS ve sertifikalar bu yaklaşımın kimlik ve gizlilik katmanını oluşturur.
Temel ilkeler
- Açıkça doğrula: Her bağlantıda kimlik ve yetki denetlenir, ağ konumu tek başına güven sağlamaz.
- En az yetki: Kullanıcı ve servisler yalnızca gereken kaynağa erişir.
- İhlal varsay: İç ağ da saldırgana açık kabul edilir; trafik iç ağda bile şifrelenir.
TLS ve sertifikaların rolü
Zero Trust mimarisinde sertifikalar birkaç yerde kullanılır:
- Sunucu sertifikası: Kullanıcının doğru uygulamaya bağlandığını kanıtlar ve trafiği şifreler. Dışa açık uygulamalar için herkesin güvendiği bir CA'dan SSL sertifikası gerekir.
- İstemci/cihaz sertifikası: Yönetilen cihazı tanımlar; mTLS ile yalnızca kurum cihazlarının erişmesi sağlanabilir.
- Servis sertifikası: Servisten servise çağrılarda kimlik sağlar.
Pratik uygulama adımları
- Envanter çıkarın: hangi uygulama, servis ve kullanıcı grupları var?
- Düz HTTP ve eski protokolleri (TLS 1.0/1.1) kapatın; iç trafikte de TLS 1.2 veya 1.3 kullanın.
- Kritik uygulamalarda kimlik sağlayıcıyla çok faktörlü doğrulama ve cihaz sertifikası zorunlu kılın.
- Erişimi ağ segmentinden çok uygulama bazında tanımlayın (mikro segmentasyon).
- Sertifika ömürlerini kısaltın, yenilemeyi otomatikleştirin.
- Günlükleri merkezde toplayıp olağandışı erişimleri izleyin.
Sık yapılan hatalar
- Zero Trust'ı tek bir ürün olarak görmek; bu bir mimari yaklaşımdır.
- İç ağdaki servislerde self-signed sertifika uyarılarını susturmak için doğrulamayı kapatmak.
- Sertifika bitiş takibini yapmamak; süresi dolan tek bir sertifika erişimi durdurabilir.
Sertifika envanterinizi ve sunucu yapılandırmanızı SSL Checker ile düzenli doğrulamak, yaklaşımın en erişilebilir ilk adımlarından biridir.