ACME STAR Sertifikası Nedir ve Nasıl Çalışır?

Sesli Dinle — Makale

ACME STAR, sertifika alımını otomatikleştiren ACME protokolüne X.509 biçimindeki kısa ömürlü sertifikaları aynı sipariş üzerinden yenileme özelliği ekler. STAR, İngilizce “Short-Term, Automatically Renewed” sözlerinin kısaltmasıdır ve kısa süreli, otomatik yenilenen sertifikaları ifade eder.

Standart ACME akışında istemci, her yenileme için yeni bir Order (sertifika siparişi) başlatır. STAR'da ise istemci başlangıçta otomatik yenilenecek tek bir Order oluşturur. Yetkilendirme tamamlandığında CA, aynı CSR'yi kullanarak yeni sertifikaları belirlenen aralıklarla üretir ve kararlaştırılan adresten sunar.

Bu nedenle STAR, sertifikanın süresi dolmadan tetiklenen sıradan bir yenileme görevinden farklıdır. Başlangıç ve bitiş zamanı, her sertifikanın geçerlilik süresi, sertifikanın nereden alınacağı ve yenilemenin nasıl durdurulacağı baştan belirlenir.

ACME STAR Nasıl Çalışır?

• İstemci, STAR'ı destekleyen ACME sunucusunda otomatik yenilemeli bir Order oluşturur ve standart ACME doğrulamasını tamamlar.
• Order kaydı, aboneliğin bitiş tarihini ve sertifika sürelerini belirleyen lifetime ile isteğe bağlı zaman ayarlarını içerir.
• CA, ilk sertifikadan sonra aynı CSR'yi kullanarak yeni sertifikaları otomatik olarak üretir.
• İstemci, güncel sertifikayı Order'a bağlı star-certificate adresinden alır.
• Yenileme belirlenen tarihte biter. İstemci yenilemeyi bu tarihten önce durdurmak isterse Order'ı iptal eder.

Standart ACME Yenilemesi ile STAR Arasındaki Farklar

Standart ACME'de yayımlanan sertifika adresi tek bir sertifikayı gösterir. Yeni sertifika gerektiğinde istemci yeni bir Order başlatır. STAR'da ise tek bir otomatik yenileme Order'ı boyunca aynı adres güncel sertifikayı sunar; yeni sertifikaları belirlenen aralıklarla CA üretir.

İki yöntem arasındaki temel farklar şöyledir:

STAR Aboneliği Nasıl Başlar?

İstemci, yeni Order isteğine otomatik yenileme bilgilerini ekler ve sertifika istediği alan adı veya diğer tanımlayıcılar için standart ACME doğrulamasını tamamlar. CA isteği kabul ettiğinde aynı Order üzerinden STAR yenilemesi başlar.

RFC 8739, ayrı bir abonelik kaydı oluşturmaz. Abonelik, Order içindeki auto-renewal alanıyla yönetilir. Bu alanda şu bilgiler bulunur:

• start-date: İlk sertifikanın en erken ne zaman geçerli olacağını belirtir. Bu alan isteğe bağlıdır.
• end-date: Son sertifikanın en geç sona ereceği tarihi belirtir ve zorunludur.
• lifetime: Her sertifika için zaman ayarlamaları hariç tutularak belirlenen en uzun süreyi saniye cinsinden belirtir ve zorunludur. Başlangıç tarihi geriye alınırsa sertifikanın gerçek geçerlilik aralığı bu değerden uzun olabilir.
• lifetime-adjust: Sistem saatleri arasındaki sapmanın etkisini azaltmak için sertifikanın geçerlilik başlangıcının kaç saniye geriye alınmasının istendiğini belirtir. Bu alan isteğe bağlıdır; CA da sertifikayı yayımladığı anda geçerli kılmak için başlangıcı geriye alabilir.
• allow-certificate-get: ACME sunucusu destekliyor ve istemci talep ediyorsa güncel sertifikaya kimlik doğrulamasız GET isteğiyle erişilmesine, HEAD isteğiyle de yanıt başlıklarının okunmasına izin verir. Bu alan da isteğe bağlıdır.

ACME sunucusu start-date, end-date ve lifetime değerleri için kendi alt ve üst sınırlarını koyabilir. STAR desteği varsa kabul ettiği en düşük lifetime değerini ve en uzun abonelik süresini ACME dizinindeki auto-renewal meta verisinde açıkça belirtir. Abonelik başlamadan önce istenen sürelerin bu sınırlar içinde kalması gerekir.

STAR Sertifikalarının Yenilenme Zamanı

İlk sertifika standart ACME doğrulaması tamamlandıktan sonra verilir. CA sonraki sertifikalarda aynı CSR'yi kullandığı için alan adları ve açık anahtar değişmez. İstemcinin her yenilemede yeni bir CSR gönderip ayrı bir Order başlatması gerekmez.

CA, yeni sertifikayı önceki sertifika sona ermeden star-certificate adresinde yayımlar. RFC 8739'a göre bir sonraki sertifika, en geç mevcut sertifikanın geçerlilik süresinin yarısına gelindiğinde hazır olmalı ve yayımlandığı anda geçerli olmalıdır. Bu zamanlama yalnız STAR için geçerlidir; standart ACME istemcilerinin yenileme planından ve ARI (ACME Renewal Information) üzerinden önerilen yenileme aralığından farklıdır.

Yeni sertifikanın bitiş tarihi Order'daki end-date değerini aşamaz. Böylece aboneliğin ne kadar süreceği ile her sertifikanın ne kadar geçerli kalacağı ayrı ayrı belirlenir.

Güncel STAR Sertifikası Nasıl Alınır?

Normalde istemci, star-certificate adresini ACME hesap anahtarıyla imzalanmış bir okuma isteği gönderen POST-as-GET yöntemiyle okur. Sunucu ve istemci bu Order için izin vermişse güncel sertifika aynı adresten kimlik doğrulamasız GET isteğiyle alınabilir; HEAD isteği ise sertifika gövdesini indirmeden yanıt başlıklarını gösterir.

Kimlik doğrulamasız erişim, sertifikayı kullanan sistemin STAR aboneliğini başlatan ACME hesap anahtarına sahip olmadığı durumlarda işe yarar. Örneğin alan adı sahibi aboneliği başlatırken CDN veya bulut hizmeti güncel sertifikayı bu adresten alabilir. Kimlik doğrulamasız erişimde ACME sunucusu, sertifika adresini kolay tahmin edilemeyecek biçimde üretmelidir.

Sunucu yanıtında Cert-Not-Before ve Cert-Not-After başlıkları bulunabilir. Bu değerler sertifikanın geçerlilik başlangıcı ve bitişiyle aynı olmalıdır. Böylece istemci, sertifika dosyasını ayrıştırmadan da geçerlilik aralığını görebilir.

Güncel sertifikanın alınması, web sunucusunda kendiliğinden kullanılacağı anlamına gelmez. Sertifikayı yükleme ve gerekiyorsa hizmete yeni sertifikayı okutma işlemleri istemci veya dağıtım otomasyonunda ayrıca tanımlanır. Şifreli TLS bağlantısında kullanılabilmesi için sertifikayla eşleşen özel anahtar da gerekir; bu anahtar ACME hesap anahtarından farklıdır.

STAR Aboneliği Nasıl Sonlandırılır ve İptal Edilince Ne Olur?

STAR aboneliği, end-date ile belirtilen tarih geldiğinde kendiliğinden sona erer. Daha erken durdurmak isteyen istemci, yenilemenin sürdüğü valid durumundaki Order için iptal isteği gönderir; CA isteği kabul edince durumu canceled olarak değiştirir. İptal tamamlandıktan sonra CA yeni sertifika üretmez ve star-certificate adresi artık sertifika sunmaz.

Order'ın iptal edilmesi daha önce yayımlanan sertifikaları hemen geçersiz kılmaz. RFC 8739, STAR sertifikalarının standart ACME revokeCert yöntemiyle tek tek iptal edilmesini desteklemez. Yeni sertifika üretimi durur; mevcut sertifikalar süreleri dolana kadar geçerli kalabilir. İptalden önce bir sonraki sertifika da yayımlanmışsa onun süresinin dolması da beklenir. Özel anahtar ele geçirildiğinde risk süresi, eldeki eski sertifikaya değil iptalden önce verilmiş en son sertifikanın bitişine göre hesaplanır.

STAR Sertifikalarının Geçerlilik Süresi Nasıl Belirlenir?

STAR'da “kısa süreli” ifadesi sabit bir süreyi anlatmaz; sertifika ömrü dakikalar, saatler veya günlerle ölçülebilir. Sertifikayı kullanan kuruluş, uygun süreyi güvenlik gereksinimlerine, sistem saatlerinin doğruluğuna ve altyapının yenileme sıklığına göre belirler.

Tek bir Order çok sayıda sertifika üretebileceği için CA tarafında ek yük oluşturur; ACME sunucuları bu nedenle en kısa lifetime değeri veya üretim sıklığı için sınır koyabilir.