Türker Cambazoğlu
Serbest Danışman
Elektronik ve Haberleşme Y.Müh.

11.05.2003

VPN’de DOĞRULAMA ve SERTİFİKALAR (Kısım-2)


İsteğe bağlı Sertifika Otoritesi oluşturulması
Kuruluşların çoğu kendi sertifika otoritesini(CA) oluşturup çalıştırmak isteyecektir. Örneğin büyük kuruluşlarda en az bir CA sunucusu bulunurken, eğer kuruluş coğrafi olarak dağıtık ise birden fazla CA bulunması daha olurludur. Bu tür çözümleri gerçeklemek isteyen işletmeler için Shiva gibi üretici firmalar ürünler sunmaktadır. Bu arada Microsoft’un Windows 2000 sunucu ürünleri de CA sunucu kurmaya olanak tanımaktadır. Kendi CA sunucusunu oluşturma yolunu seçen bir kuruluşun dikkat etmesi gereken şu noktalar mevcuttur:

· Gerekli olan sertifikaların sayısı(bu durum CA sunucu yazılımı ile satın alınacak lisansda belirtilmelidir)

· Kriptografi ve özellikle PKI ve anahtar değiş tokuş işlemleri konusunda bilgi ve uzmanlık

· CA için hiyerarşik veya çapraz sertifikasyon modelinin seçimi

· Diğer CA’lerle iletişim kurabilmek için X.509 gibi standart sertifika teknolojisinin benimsenmesi

· Daha kolay sertifika saklayabilmek amacı ile LDAP kullanılması

Internet üzerinde bir çok CA sunucu modeli mevcuttur. Eğer belirli bir sertifikanın geçerliliği sorgulanacak olursa, ne olacaktır? Eğer bir CA sunucu bir varlık hakkında güvenli bilgi elde etmek isterse nereye baş vuracaktır? Hiyerarşik bir CA modelinde daha alçak hiyerarşi seviyesindeki CA’ler aradıkları bilgileri piramidin daha yukarısındaki CA’lerden elde eder. İşlem hiçbir zaman tersine işlemez. Birçok kurum, hiyerarşik CA modelini benimsemiştir. Hiyerarşinin en üstünde merkez ofisler, orta katmanda ana ofisler ve en alt seviyede de küçük satış ofisleri ve ambarlar(depolar) yer alır.

Çapraz sertifikasyon CA modelinde CA sunucular bilginin koordinasyonunda işbirliği yapar.Hiç bir CA mutlak otorite olarak kabul edilmez. Bunun yerine tüm CA’ler görevlerini yerine getirmek üzere güvenli bir biçimde iletişim kurarlar. Bu model hiyerarşik modele göre daha karmaşık olmasına karşışılık, bir CA’in çalışamaması(örneğin arıza) nedeniyle sürecin durması riski daha azdır. Hiyerarşik ve çapraz sertifikasyon CA’ler arasındaki temel fark şekil.1’de gösterilmiştir.



Hiyerarşik modelde bir tane CA merkezi bir yerleşkede güvenli kılınmıştır. Diğer CA’ler ise organizasyonun ağı boyunca gereksinime bağlı olarak dağıtılmıştır. Bu CA’ler kendi yerlerinde güvenli kılınmıştır. Merkezi CA, sadece bu iş için kullanılan bir sunucu olup, özel anahtarı(private key) üretip saklar. Bu sunucu aynı zamanda kök sertifika(root certificate) adı ile bilinir. Kök sertifika sunucusu dağıtılmış CA’ler tarafından üretilen tüm sertifikaları yoklayıp doğrular. Dağıtık CA’ler tarafından yayınlanan sertifikalar her zaman kök sertifika ile bir birliktelik(association) oluşturur.

Çapraz sertifika modeli bir CA’in güvenini organizasyonunun diğer bölümlerindeki CA’lere uzatır. Yani aynı güven derecesi karşılıklı olarak birbirinin yerine geçer. Hiyerarşik modelden farklı olarak, eğer ortada tüm sistemleri birbirine bağlayan bir kök sertifika varsa, bir CA’i etkileyen bir güvenlik olayı tüm organizayonu etkilemez.

Bir işletmede hiyerarşik veya çapraz sertifika modellerinden birisinin seçilmesi kararı, en azından bir ölçüde işletmenin yapısına ve işletme için ne kadar denetimin rahat bir çalışma ortamı sağlayacağı bilgilerine dayandırılmalıdır. Her iki durumda da Certco, GTE Cybertrust ve VeriSign gibi üretici firmalardan CA yazılımı satın alınmalıdır.

Bir organizasyonda bir veya daha fazla CA sunucusu çalıştırmanın avantajları, kurum bilgileri üzerinde daha fazla pozitif denetim ve çalışanlar, iş ortakları ve tedarikçilerle ilgili bilgiler üzerinde daha sıkı denetim sağlanmasıdır. Bir CA sunucusunun çalıştırılması ve çalışır vaziyette ayakta tutulması bir e-posta sunucusu çalıştırmaktan daha zor değildir.

Eğer kurum bir nedenle, CA sunucusunu çalıştıramıyor veya çalıştırmak istemiyorsa CA hizmeti bir VPN yardımı ile dış kaynak kullanımı(outsource) ile üçüncü şahıs bir firmadan satın alınabilir. Bu tür bir karar oldukça stratejik sayılabilir. Çünkü artık CA sunucunun fiziksel güvenliği, kurum ağı üzerinde yer alan bir CA sunucusunun fiziksel güvenliğinden daha düşük seviyededir. Bu durumda, eğer CA sunucu sorumluluğu kurum içinde olsaydı gerekli olacak “kriptografi ve genel anahtar yönetimi” bilgi birikim ve uzmanlığının işletme içinde tam zamanlı bir görev olmasına gerek kalmaz. Bu ise, bazı şirketler için bütçesel bir avantaj anlamına gelebilir.

Gelecek yazımda “Lightweight Directory Access Protocol(LDAP)” ile devam edeceğim.

(Devam edecek)