Autor del tema
#1
Güvenlik politikaları gereği, ağdaki anahtar parmak izlerinin nasıl toplanıp doğrulanabileceğini adım adım ve uygulanabilir örneklerle ele almak istiyorum. Bu konu, sistem güvenliği ve ağ yönetimi pratiğinde sık karşılaşılan bir görev olduğundan, temel kavramlardan başlayıp pratikte karşılaşılabilecek durumları da kapsayacak şekilde ele alınacaktır.
Giriş ve temel kavramlar
SSH anahtar parmak izleri, sunucuların kimliklerini doğrulamak için kullanılan kriptografik özetlerdir. Her sunucu için her anahtar türü (RSA, ECDSA, Ed25519 vb.) kendi parmak izine sahiptir. ssh-keyscan komutu, bir veya daha fazla anahtarın kendi parmak izlerini hızlıca toplamak için kullanılır; ancak bu araç güvenlik amacıyla dikkatli kullanılmalıdır çünkü doğrulama gerektirmeyen bir şekilde sunucudan anahtarları dışa aktarır ve güvenlik politikalarınızla uyumlu bir şekilde kullanılmalıdır.
Uygulamalı adımlar
1) Amaç ve hedef belirleme
- Hangi sunuculara ait parmak izlerini toplamak istiyorsunuz? Yazılım dağıtımı, yetkili altyapı denetimi veya ağ güvenliği taraması gibi amaçlar için net hedef belirlemek önemlidir.
- Hangi anahtar türlerinin dahil edileceği netleşmelidir. Genelde RSA, ECDSA ve Ed25519 gibi modern türler dikkate alınır.
2) Temel ssh-keyscan kullanımı
- Temel komut şu şekilde çalışır: ssh-keyscan -t rsa,ecdsa,ed25519 example.com
- -t parametresiyle dahil etmek istediğiniz anahtar türlerini belirleyebilirsiniz. Birden fazla sunucuyu aynı anda taramak için liste kullanabilirsiniz: ssh-keyscan -t rsa,ecdsa,ed25519 host1.example.com host2.example.com
- Çıktı doğrudan ~/.ssh/known_hosts dosyasına eklemek yerine bir doğrulama adımı sonrası kaydetmek daha güvenlidir.
3) Parmak izlerini çıkarmak için ek yöntemler
- Parlak fikir: parmak izlerini başka araçlarla karşılaştırmak güvenliği artırır. Örneğin OpenSSH’nin yerleşik anahtar doğrulama mekanizmasıyla karşılaştırabilir veya açık anahtar fingerprint formatlarını (MD5, SHA256) elde etmek için ek işlemler uygulanabilir.
- Örnek çıktı: ssh-keyscan sadece anahtarları verir; bunların parmak izini elde etmek için ekstra adımlar gerekir. Üretim ortamında, çıktı önce bir güvenlik filtresinden geçirilmeli ve sadece güvenilir hedeflerle paylaşılmalıdır.
4) Doğrulama ve kayıt
- Parmak izleri elde edildikten sonra, bunları güvenli bir şekilde doğrulamak için yetkili kişilerle paylaşım yaparken kimlik doğrulama adımlarını kullanın.
- Kayıtlar, kimlik doğrulama politikalarına uygun olarak saklanmalı ve gerektiğinde denetim için erişim kontrolüne tabi tutulmalıdır.
5) Güvenlik ve sınırlamalar
- ssh-keyscan, toplanan anahtarları doğrulama olmadan getirir; bu yüzden güvenlik politikalarına uygun screening ve loglama gereklidir.
- Yanlış konfigürasyon veya üçüncü taraf yönlendirme riskleri için çıktı filtreleme (ör. sadece fingerprint satırlarını saklama) yapılabilir.
Örnek senaryo ve pratik öneriler
- Ağınızda 20 sunucu var ve düzenli olarak parmak izlerini kontrol etmek istiyorsunuz. Bash script ile sunucuları listeleyip, her biri için parmak izlerini çekip, SHA256 formatında özetlemek güvenli bir yaklaşımdır:
CÓDIGO
1234567
#!/bin/bash
SERVERS=("host1" "host2" "host3")
for s in "${SERVERS[@]}"; do
fingerprints=$(ssh-keyscan -t rsa,ecdsa,ed25519 "$s" 2>/dev/null | ssh-keygen -lf - | awk '{print $2, $3, $4, $5, $6}')
echo "$s: $fingerprints"
done
- Burada ssh-keyscan çıktısını doğrudan saklamak yerine, her satırı parsed ederek tekil bir özet üretiyoruz. Ayrıca log da güvenli biçimde saklanmalı ve gerektiğinde yetkilendirilmiş kişilerce incelenmelidir.
Kapanış
Bu konu, kimlik doğrulama ve güvenli altyapı yönetiminin temel pratiklerinden biridir. Sunucuların güncel ve doğrulanabilir anahtar parmak izlerini düzenli olarak denetlemek, güvenlik olaylarının erken tespiti için önemlidir. Bu yaklaşımı kendi altyapınız üzerinde nasıl uyguluyorsunuz veya karşılaştığınız en belirgin zorluk ne oldu, deneyimlerinizi paylaşabilir misiniz?
