Konuyu Açan
#1
Giriş
Bir veritabanı sunucusunda TLS/SSL üzerinden güvenli iletişim kurarken sertifika doğrulama süreci kritik bir rol oynar. Ancak uygulanacak konfigürasyonlarda yanlışlıklar güvenlik açıklarına yol açabilir. Bu paylaşım, MariaDB ortamlarında sertifika doğrulama risklerini, yaygın hataları ve güvenli bir yapı için pratik ipuçlarını ele alır.
[list]
- Sunucu tarafında sertifika imzalama zincirinin eksik veya bozuluğu: kök, ara sertifikalar ve sunucu sertifikasının birbirleriyle uyumsuz olması, bağlantı sırasında TLS el sıkışması başarısızlığına yol açar.
- Sunucu adı eşleşmesi (SNI/hostname) ihlali: istemci, bağlandığı host adını sertifikadaki CN veya SAN ile karşılaştırmazsa man-in-the-middle riskleri artar.
- Sertifika yenileme yönetimi: süresi dolmuş sertifikalar otomatik olarak reddedilir; ancak otomatik yenileme veya yenileme yanlış yapılandırması hizmet kesintilerine yol açabilir.
- TLS sürüm ve cipher seçimi: eski sürümler veya zayıf şifreleme algoritmaları, kriptoanalytic riskleri doğurur ve uyum sorunlarına neden olur.
- Doğrulama zincirini tam ve güvenli tutun: kök sertifikası, ara sertifikalar ve sunucu sertifikası kazançlı bir şekilde birbirine bağlı olmalı; istemci ve sunucu tarafında sertifika depoları güncel tutulmalı.
- Sunucu adını kesin eşleşmeye zorlayın: bağlantı yapılandırmasında TLS doğrulamasını zorunlu kılın ve SAN alanını kullanarak CN’nin ötesinde doğrulama sağlayın.
- TLS konfigürasyonunu sertifikayla uyumlu tutun: minimum TLS 1.2 veya daha yüksek ve güvenli cipher setlerini zorunlu kılın; mümkünse TLS 1.3’e geçiş hedefleyin.
- Sertifika yenileme ve otomasyon: yenileme sürecini CI/CD veya operasyonel araçlar üzerinden otomatikleştirin; yenilenen sertifikaların test edildikten sonra devreye alınmasını sağlayın.
- İzleme ve uyarı: doğrulama hatalarını loglayın, bağlantı başarısızlıklarını ve sertifika uzatma hatalarını merkezi loglarda izleyin.
KOD
12345678
-- MariaDB TLS konfigürasyon örneği (genel yapı)
[mysqld]
ssl-ca=/path/to/ca.pem
ssl-cert=/path/to/server-cert.pem
ssl-key=/path/to/server-key.pem
ssl-cipher=ECDHE-RSA-AES256-GCM-SHA384,ECDHE-ECDSA-AES256-GCM-SHA384
ssl-mode=REQUIRED
