AD-CS: Temel Güvenlik Önlemleri

Aktif Dizin Sertifika Servisi: Temel Güvenlik Önlemleri

Bir organizasyonda Aktif Dizin Sertifika Servisi için tavsiye edilen temel güvenlik önlemleri şu şekildedir:

• Kök ve Ara Sertifika Otoriteleri, sadece kendisinin altındaki otoritelere sertifika dağıtımı yaparken açık olmalı, diğer zamanlarda çevrimdışı çalışmalıdır. Bu otoriteler, direk olarak son kullanıcı sertifikalarının yayımlanması ile ilgilenmemelidir. Çevrimdışı tutulan bu Sertifika Otoriteleri Hyper-V ile sanallaştırılmalıdır. Fiziksel olarak korumak daha kolay ise, sanallaştırma yerine fiziksel sunucular kullanılmalıdır.
• Kök veya Ara Sertifika Otoriteleri’nden sertifika taşınması için USB veya floppy disk kullanılmalıdır, ağ bağlantısının kurulmasından kaçınılmalıdır.
• Donanım güvenlik modülü (Hardware Security Module - HSM) ile bir sertifika yetkilisinin (CA) ve ortak anahtar altyapısının (PKI) güvenliği arttırılır. HSM, işletim sisteminden ayrı olarak yönetilen, tahsis edilmiş bir donanım aygıtıdır. Bu modüller ile hem imzalama ve şifreleme işlemleri hızlanır, hem de SO anahtarları için de güvenli bir donanım depo sağlanır. 
• SYSKEY.exe aracı kullanılarak anahtarlar depolanmalıdır.
• Sertifika otoritesi ile olan iletişim şifreli olmalıdır. Özellikle Web tabanlı sertifika kaydı için SSL üzerinden iletişim gerçekleştirilmelidir.
• Kritik sertifika verme işlemlerinin otomatik olarak onaylanılmasından kaçınılmalıdır. Bir yönetici tarafından onaylanması ve onaylanmadan önce farklı yollarla (mail/telefon vs) bu talebin onaylanması gerekmektedir.
• CA sunucusunda oturum açılma işlemlerinde sıkı güvenlik politikaları uygulanmalıdır. Kimlik doğrulama işleminin akıllı kartlar ile gerçekleştirilmesine özen gösterilmelidir.
• CA tarafından verilen sertifikanın kullanım amacı belirtilmeli ve sadece bu amaç için kullanılabilmesi sağlanmalıdır. Posta yollamak için verilen sertifika, doküman imzalamak için kullanılmayacaksa, imzalama yetkisine sahip olmamalıdır.
• Grup ilkeleri ile sertifika yönetimi sağlanmaya çalışılmalıdır. Manuel operasyonlardan kaçınılmalıdır.
• Kullanıcılar Kök Sertifikalarını kendileri güncelleyememeleri sağlanmalıdır. Böylece zararlı bir sertifika otoritesine ait sertifika depolanmamış olur.
• Güven yapısının olduğu sistemlerde PKI yapısına dikkat edilmelidir. Güven duyulan tarafa sertifika üretme yetkisi verilecekse, bu süre kısa tutulmalı ve verilen sertifikalar kontrol edilmelidir.
• Etki alanındaki kimlik doğrulamış grupların (Authenticated Users), organizasyondaki Sertifika Otoriteleri üzerinde hiçbir hakkı olmamalıdır. Sertifika isteyebilecek grupların (bilgisayar veya kullanıcı) ise, sadece sertifika talep etme (Request Certificates) haklarının olması gerekmektedir.
• Her bir Sertifika Otoritesi’nde yerel bir grup oluşturulmalı ve bu gruba CA’yı yönetmesi için gerekli haklar verilmelidir.
• İstemcilerde ve CA’larda gizli anahtarların bulunduğu dizinler özel olarak korunmalıdır. Bu dizinler şu şekildedir:
• Windows Vista/2008/7 istemcilerde, %APPDATA%\Microsoft\Crypto\Keys
• Windows 2003/XP istemcilerde, %APPDATA%\Microsoft\Crypto
• Windows Server 2003 CA’da, %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto
• Windows Server 2008 / 2008 R2 CA’da, %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto, %WINDIR%\ServiceProfiles
• Bir Sertifika Otoritesi üzerinde gerçekleşen olaylar için denetimler uygun şekilde yapılandırılmalıdır. Ayrıntılı bilgi için: http://technet.microsoft.com/tr-tr/library/cc772451.aspx
• Bir Sertifika otoritesinde kritik bir olay meydana geldiğinde bu olay anlık olarak ilgili yöneticiye bildirilmelidir. Ayrıntılı bilgi için: http://technet.microsoft.com/en-us/library/cc731934.aspx
• PKI ortamının yönetimi için rol tabanlı bir yönetim uygulanabilmektedir. Kullanıcı ve grupların yapabilecekleri operasyonlar sahip oldukları rollere göre gerçekleştirilmelidir. AD-CS üzerindeki rol tabanlı yönetim kuralları için bakınız: http://technet.microsoft.com/tr-tr/library/cc732590(v=ws.10).aspx
• Veritabanı ve loglar ayrı disklerde tutulmalıdır.
• Sertifika otoritesine ait veritabanı, sertifikalar ve anahtarlar yedeklenmelidir.
• Uygulamalar sertifika geçerliliği kontrolü gerçekleştirilirken sertifikanın iptal olup olmadığı kontrolünü gerçekleştirecek şekilde ayarlanmalıdır. /NoCRLCheck parametresi kullanılması durumunda HTTPS bağlantısı öncesinde CRL kontrolünün yapılmayacağı göz önünde bulundurulmalıdır.

AD-CS: En iyi uygulamalar

Aktif Dizin Sertifika Servisi: En İyi Uygulamalar
(Best Practices)

Bir organizasyonda Aktif Dizin Sertifika Servisi için tavsiye edilen en iyi uygulamalar şu şekildedir:

• Organizasyondaki AD-CS ve PKI gereksinimi analiz edilmeli ve gerek duyuluyorsa planlı ve yazılı bir şekilde kurulum gerçekleştirilmelidir.
• AD-CS sunucu rolünün yüklü olduğu makinede sadece DNS rolünün yüklü olması tavsiye edilmektedir. Özellikle AD-DS yüklü olmamasına özen gösterilmelidir. Aksi halde SO üzerindeki bir problem tüm etki alanındaki sistemlerin çalışmasına engel olabilir.
• Tek katmanlı SO hiyerarşik yapıdan kaçınılmalıdır.
• Sertifikaların geçerlilik süreleri operasyonel işlemlerin çok sık gerçekleştirilmemesi için çok kısa olmamalı, güvenlik zafiyeti ve kontrol eksikliğine sebep olmaması için çok uzun olmamalıdır.
• Katmanlı yapılarda her katman arasındaki sertifika geçerlilik tarihinin en fazla 10 yıl olması tavsiye edilmektedir. Örneğin, Kök Sertifika Otoritelerinin sertifika ömrü 30 yıl iken, Ara Sertifika Otoriteleri’nin 20 yıl, Kayıt Eden Sertifika Otoriteleri’nin ise 10 yıl olması uygundur.
• Sertifikaların kontrol edildiği CA kaldırıldığında, sertifika kontrolü gerçekleştirilemeyeceği için bazı uygulamalar düzgün çalışmayabilir. Bu sebeple kaldırılan Sertifika Otoritesi’nin sertifikası, üst Sertifika Otoritesi tarafından iptal edilmeli ve iptal nedeni belirtilmelidir. Daha sonra iptal nedeninin gösterildiği sertifika iptal listesi (CRL) yayınlanmalıdır.
• Kök CA kaldırıldığında,bu KÖK CA tarafından verilen tüm sertifikalar iptal edilmeli ve iptal nedeni belirtilmelidir. Daha sonra iptal nedeninin gösterildiği sertifika iptal listesi (CRL) yayınlanmalıdır.
• Sertifika Otoritesi’ne ait bilgisayarın adı ve etki alanı kurulum sonrasında değiştirilemez. Bu sebeple dikkatli olarak isimlendirme yapılmalıdır. Departman adı, lokasyon adı gibi bilgilerin isim içerisinde geçmemesi tavsiye edilmektedir.
• Sertifika otoritesi kurulduktan sonra kurulum türü değiştirilemez. Bu sebeple, Enterprise veya Standalone kurulumlarından hangisinin kurulacağına dikkat edilmelidir.
• Sertifika işlemlerinin yönetimi için grup ilkeleri uygun şekilde yapılandırılmalıdır.
• Sertifika İptal Listeleri (CRL) ve SO sertifikalarına erişim kolay ve hızlı olmalıdır.
• Sertifika Otoriteleri yedekli çalışmalıdır.

AD-CS: Kurulum Türleri

Aktif Dizin Sertifika Servisi: Kurulum Türleri

İki türde AD-CS kurulumu gerçekleştirilebilir:

• Enterprise CA
• Standalone CA

Enterprise CA Kurulumu
Dijital imzalama, S/MIME kullanarak e-posta güvenliğini sağlama, SSL/TLS kullanarak güvenli bir Web sunucusuna kimlik doğrulaması yapma, akıllı kart kullanarak etki alanında oturum açma gibi amaçlarla sertifika yayımlayabilir. Enterprise CA şu özelliklere sahiptir:

• Active Directory Etki Alanı Hizmetleri'ne (AD DS) erişim gerektirir.
• Genellikle kayıt etme (issuing) işlemi için kullanılırlar.
• Ormandaki (Forest) tüm kullanıcı ve bilgisayarlar için; sertifikasını, Güvenilen Kök Sertifika Yetkilileri (Trusted Root Certification Authorities) sertifika deposuna yerleştirmek amacıyla grup ilkesini kullanır. 
• AD DS'ye kullanıcı sertifikaları ve sertifika iptal listeleri (CRL) yayımlar.

Enterprise CA'ları, bir sertifika şablonuna dayalı olarak sertifika verir. Sertifika şablonları kullandığınızda aşağıdaki işlevleri kullanmak mümkündür:

• Enterprise Sertifika Otoriteleri, sertifika kaydı sırasında kullanıcılar için kimlik denetimini zorunlu kılar. Her sertifika şablonunun, sertifika istek sahibinin istediği türde sertifika almaya yetkili olup olmadığını belirleyen, AD DS üzerinde ayarlanmış bir güvenlik izni vardır.
• Sertifika konusu veya adı, AD DS üzerindeki bilgilerden otomatik olarak oluşturulabilir veya istek sahibi tarafından sağlanabilir.
• İlke modülü, verilen sertifikaya, sertifika uzantılarının önceden tanımlanmış bir listesini ekler. Uzantılar sertifika şablonu tarafından tanımlanır. Böylece, sertifika ve amaçlanan kullanımla ilgili olarak sertifika isteyenin sağlaması gereken bilgiler azalır.
• Sertifika vermek için otomatik kayıt kullanılabilir. Ancak yöneticilerin, bu otomatik yapıyı kontrol etmesi ve güvenliğini sağlaması için, parola politikası gibi bazı politikaları sıkı tutması gerekir.

Standalone CA Kurulumu
Dijital imzalama, S/MIME kullanarak e-posta güvenliğini sağlama, SSL/TLS kullanarak güvenli bir Web sunucusuna kimlik doğrulaması yapma gibi amaçlarla sertifika yayımlayabilir. Standalone Sertifika Otoriteleri şu özelliklere sahiptir:

• Enterprise Sertifika Otoriteleri’nin aksine Standalone CA'lar, Active Directory Etki Alanı Hizmetleri'ni (AD-DS) kullanmayı gerektirmez. AD DS kullanılsa bile, SO hiyerarşisinde ya sadece çevrimdışı güvenilen Kök Sertifika Otoriteleri olarak kullanılabilir; ya da istemcilere bir extranet veya Internet üzerinden sertifika vermek için kullanılabilir. 
• Genellikle Kök ve Ara CA’lar için kullanılırlar.
• Ağ bağlantısı kapalı tutularak, çevrimdışı olarak çalışmalıdırlar. Çevrimiçi çalışacaklarsa HSM (Hardware Security Module) kullanılmalıdır.
• Sertifika oluşturmak için şablon kullanmazlar.
• İstemciler, bir Standalone Sertifika Otoritesi’ne sertifika isteği gönderdiğinde, kendilerini tanımlayan bilgileri sağlamaları ve gereksinim duydukları sertifikanın türünü belirtmeleri gerekir. (Enterprise CA'larına istek gönderilirken bunların yapılmasına gerek yoktur; çünkü, etki alanındaki istemcilerin bilgileri zaten AD DS üzerinde bulunmaktadır ve sertifika türü de bir sertifika şablonuyla belirtilmiş olması gerekmektedir). İsteklerle ilgili kimlik doğrulama bilgileri yerel bilgisayarın Güvenlik Hesapları Yöneticisi (Security Accounts Manager) veritabanından alınır.
• Varsayılan olarak, Standalone Sertifika Otoritesi’ne gönderilen tüm sertifika istekleri, Standalone Sertifika Otoritesi’nin yöneticisi gönderilen bilgileri doğrulayıp isteği onaylayana kadar beklemeye alınır. Sertifika isteyenin kimlik bilgileri Standalone Sertifika Otoritesi tarafından doğrulanmadığı için, yöneticinin bu görevleri gerçekleştirmesi gerekir.
• Yöneticinin, Standalone CA'nın sertifikasını etki alanı kullanıcısının güvenilen kök deposuna dağıtması ya da kullanıcıların bu görevi kendilerinin yapması gerekir.

Standalone olarak kurulan bir sertifika otoritesi, AD-DS kullanırsa; bu sunucu aşağıdaki ek özelliklere sahip olur:

• Domain Admins grubunun bir üyesi veya etki alanı denetleyicisine Yazma erişime sahip bir yönetici Standalone bir Kök (root) Sertifika Otoritesi yüklerse, etki alanındaki tüm kullanıcı ve bilgisayarlar için Güvenilen Kök Sertifika Yetkilileri (Trusted Root Certification Authorities) sertifika deposuna otomatik olarak eklenir. Bu nedenle, etki alanına Standalone bir Kök CA yüklenecekse, sertifika istekleri alındığında CA tarafından gerçekleştirilecek varsayılan eylem, istekleri beklemede (requests as pending) olarak değiştirilmelidir. Aksi takdirde, etki alanına sertifika isteyenin kimliğini doğrulamadan otomatik olarak sertifikalar veren bir güvenilen Kök CA yüklenmiş olur.
• Kuruluştaki üst etki alanının Domain Admins grubunun bir üyesi veya AD DS'ya Yazma erişime sahip bir yönetici tarafından Standalone CA yüklenirse; yüklenen bu Standalone CA, kendi CA sertifikasını ve sertifika iptal listesini (CRL) AD DS'ye yayımlar.

Katmanlı Yapı

• Tek katmanlı yapıda Kök SO Enterprise olarak kurulurken, Ara ve Kayıt Eden sertifika otoriteleri bulunmamaktadır.
• İki katmanlı yapıda Kök SO olan Standalone, Kayıt Eden Sertifika Otoritesi Enterprise olarak kurulurken, Ara SO bulunmamaktadır.
• Üç katmanlı yapıda Kök ve Ara SO Standalone olarak, Kayıt Eden SO Enterprise olarak kurulur.

AD-CS: Rol Servisleri

Aktif Dizin Sertifika Servisi: Rol Servisleri

Windows Server 2008 R2 üzerinde AD Sertifika Hizmeti’nin 6 bileşeni bulunmaktadır. Bu bileşenler şu şekildedir:

• Sertifika Otoritesi (Certification Authority) : Temel rol servisidir. Kök ve Alt CA sunucuları; etki alanındaki veya dışında bulunan kullanıcı, bilgisayar veya servislere sertifika verilmesi ve bu sertifikaların geçerliliğinin yönetilmesi işlemlerini gerçekleştirir.
• CA Web Kaydı (Certification Authority Web Enrollment): Kullanıcıların sertifika talep etmek, yenilemek, Sertifika iptal listesine (Certificate Revocation List – CRL) erişmek, akıllı kart sertifikalarının dağıtmak için basitleştirilmiş bir web ara yüzü sunmaktadır. Bu arayüze “http://SunucuAdi/certsrv” adresinden erişilebilir.
• Çevrimiçi Yanıtlama Hizmeti (Online Responder Service): Belirli sertifikaların iptal edilme durum bilgisi isteklerini alır, bu sertifikaların durumunu analiz eder ve istenen sertifika durum bilgilerini içeren imzalı bir yanıtı geri gönderir. Bu servis Online Certificate Service Protokol’ünü (OCSP) çalıştırır. Bu servis, kompleks yapılar içinde, Certificate Revocation List (CRL) kontrolünü daha rahat erişilebilir kılmaktadır. CRL girdileri, istekte bulunan kişiye tüm CRL yerine, geçerliliğini öğrenmek istediği sertifikanın geçerlilik durumunu imzalı olarak yollar. Bu sayede istemci, sertifika doğrulamak istediğinde hem harcanan toplam ağ trafiği büyük oranda düşmüş olur, hem de daha hızlı cevap alır. http://technet.microsoft.com/tr-tr/library/cc770413(v=ws.10).aspx
• Ağ Aygıtları Kayıt Servisi (Network Device Enrollment Service): Etki alanı hesabı olmayan yönlendiricilerin ve diğer ağ aygıtlarının, Simple Certificate Enrollment Protocol (SCEP) kullanarak sertifika almasına olanak sağlar. http://technet.microsoft.com/tr-tr/library/cc753784(v=ws.10).aspx
• Sertifika Kaydı Web Hizmeti (Certificate Enrollment Web Service): Kullanıcıların ya da bilgisayarların, bilgisayarlar etki alanı üyesi olmasa bile ya da etki alanı ağında olmasa bile, HTTPS protokolünü kullanarak sertifika kaydı gerçekleştirmelerini sağlar. Bu hizmet; gelen talepleri HTTPS trafiği üzerinden alır, talebi asıl yapan istemci adına DCOM protokolünü kullanarak CA’ya bağlanır ve sertifika kayıt işlemini tamamlar, daha sonra sertifika cevabını yine HTTPS üzerinden geri gönderir.
• Sertifika Kaydı İlkesi Web Hizmeti (Certificate Enrollment Policy Web Service): Kullanıcıların ve bilgisayarların sertifika kaydı ilkesi bilgilerini almalarını sağlar. Bu hizmet; ağdaki istemci bilgisayarlara sertifika ilkesini iletmek için HTTPS protokolünü kullanır. LDAP kullanarak AD-DS’ten sertifika ilke bilgisini alır, bu bilgiyi ön belleğinde saklar ve istemciye sunar. Bu hizmet, bir önce belirtilen rol servisi (Sertifika Kaydı Web Hizmeti) ile otaklaşa çalışır. Bu iki hizmet, istemci bilgisayar etki alanının bir üyesi olmadığında veya bir etki alanının bulunduğu ağa bağlı olmadığında da ilke tabanlı sertifika kaydı sağlar. Bu sayede orman (forest) sınırları dışarısında gereksiz yere CA kurulmasının önüne geçilebilmekte, organizasyon dışındaki iş ortakları ve hareketli (mobil) çalışanlara sertifika düzenlenebilmektedir.

Aktif Dizin Sertifika Servisi: Rol Servisleri

Aktif Dizin Sertifika Servisi: Rol Servisleri

Windows Server 2008 R2 üzerinde AD Sertifika Hizmeti’nin 6 bileşeni bulunmaktadır. Bu bileşenler şu şekildedir:

• Sertifika Otoritesi (Certification Authority) : Temel rol servisidir. Kök ve Alt CA sunucuları; etki alanındaki veya dışında bulunan kullanıcı, bilgisayar veya servislere sertifika verilmesi ve bu sertifikaların geçerliliğinin yönetilmesi işlemlerini gerçekleştirir.
• CA Web Kaydı (Certification Authority Web Enrollment): Kullanıcıların sertifika talep etmek, yenilemek, Sertifika iptal listesine (Certificate Revocation List – CRL) erişmek, akıllı kart sertifikalarının dağıtmak için basitleştirilmiş bir web ara yüzü sunmaktadır. Bu arayüze “http://SunucuAdi/certsrv” adresinden erişilebilir.
• Çevrimiçi Yanıtlama Hizmeti (Online Responder Service): Belirli sertifikaların iptal edilme durum bilgisi isteklerini alır, bu sertifikaların durumunu analiz eder ve istenen sertifika durum bilgilerini içeren imzalı bir yanıtı geri gönderir. Bu servis Online Certificate Service Protokol’ünü (OCSP) çalıştırır. Bu servis, kompleks yapılar içinde, Certificate Revocation List (CRL) kontrolünü daha rahat erişilebilir kılmaktadır. CRL girdileri, istekte bulunan kişiye tüm CRL yerine, geçerliliğini öğrenmek istediği sertifikanın geçerlilik durumunu imzalı olarak yollar. Bu sayede istemci, sertifika doğrulamak istediğinde hem harcanan toplam ağ trafiği büyük oranda düşmüş olur, hem de daha hızlı cevap alır. http://technet.microsoft.com/tr-tr/library/cc770413(v=ws.10).aspx
• Ağ Aygıtları Kayıt Servisi (Network Device Enrollment Service): Etki alanı hesabı olmayan yönlendiricilerin ve diğer ağ aygıtlarının, Simple Certificate Enrollment Protocol (SCEP) kullanarak sertifika almasına olanak sağlar. http://technet.microsoft.com/tr-tr/library/cc753784(v=ws.10).aspx
• Sertifika Kaydı Web Hizmeti (Certificate Enrollment Web Service): Kullanıcıların ya da bilgisayarların, bilgisayarlar etki alanı üyesi olmasa bile ya da etki alanı ağında olmasa bile, HTTPS protokolünü kullanarak sertifika kaydı gerçekleştirmelerini sağlar. Bu hizmet; gelen talepleri HTTPS trafiği üzerinden alır, talebi asıl yapan istemci adına DCOM protokolünü kullanarak CA’ya bağlanır ve sertifika kayıt işlemini tamamlar, daha sonra sertifika cevabını yine HTTPS üzerinden geri gönderir.
• Sertifika Kaydı İlkesi Web Hizmeti (Certificate Enrollment Policy Web Service): Kullanıcıların ve bilgisayarların sertifika kaydı ilkesi bilgilerini almalarını sağlar. Bu hizmet; ağdaki istemci bilgisayarlara sertifika ilkesini iletmek için HTTPS protokolünü kullanır. LDAP kullanarak AD-DS’ten sertifika ilke bilgisini alır, bu bilgiyi ön belleğinde saklar ve istemciye sunar. Bu hizmet, bir önce belirtilen rol servisi (Sertifika Kaydı Web Hizmeti) ile otaklaşa çalışır. Bu iki hizmet, istemci bilgisayar etki alanının bir üyesi olmadığında veya bir etki alanının bulunduğu ağa bağlı olmadığında da ilke tabanlı sertifika kaydı sağlar. Bu sayede orman (forest) sınırları dışarısında gereksiz yere CA kurulmasının önüne geçilebilmekte, organizasyon dışındaki iş ortakları ve hareketli (mobil) çalışanlara sertifika düzenlenebilmektedir.

AD-CS: Sertifika Otoriteleri için Katmanlı Yapı

Aktif Dizin Sertifika Servisi: Sertifika Otoriteleri

Sertifikaların Kullanım Alanları
Microsoft PKI yapısında 3 katmanlı sertifika otoritesi bulunmaktadır:

• Kök (Root) CA: Organizasyon PKI yapısında en güvenilir CA türüdür. Kök Sertifika Otoriteleri, son kullanıcılara da sertifika verebileceği gibi, sadece alt katmanındaki sertifika otoritelerine sertifika vermesi tavsiye edilmektedir. Kendi sertifikalarını kendileri imzalarlar.
• Orta/Alt (Intermediate / Subordinate) CA: Kök Sertifika Otoriteleri tarafından kendisine sertifika dağıtma yetkisi verilen otoritelerdir. Bu sertifika otoriteleri de direk olarak son kullanıcı ve bilgisayarlara sertifika vermezler, diğer otoritelerin sertifikalarını onaylarlar.
• Veren/İhraç Eden (Issuing) CA: Direk oalrak son kullancııdan gelen sertifika isteğini işler. Bu amaçla önce bu isteği alır, uygunsa onaylar, gerekli düzenlemeleri yaparak sertifikayı oluşturur ve sonra da yayımlar.

PKI yapısı oldukça iyi tasarlanması gereken bir yapıdır. Bu yapı oldukça esnek ve genişletilebilir. PKI yapısı tasarlanırken, kullanacak bir organizasyonda en az bir tane Kök Sertifika Otoritesinin bulunması zorunludur. Kök SO birden fazla da olabilir. Büyük ölçekli organizasyonlarda 5-6 katmanlı bir yapı, orta ölçekli organizasyonlarda 2 katmanlı bir yapı önerilmektedir. Küçük ölçekli sistemlerde ise sadece Kök SO’nin bulunması yeterli olacaktır.

Hiyerarşik yapının sebepleri
Hiyerarşik yapının oluşmasının birden fazla sebebi olabilir. Bunlardan bazıları şu şekildedir:

• Kullanım: Sertifikalar posta gönderme, doküman imzalama, disk şifreleme,… gibi farklı amaçlarla kullanılabilmektedir. Bu amaçlara yönelik olarak farklı otoritelerin kullanılması organizasyon için faydalı olabilmektedir.
• Kuruluş bölümleri: Sertifikalar, varlığın organizasyonundaki rolüne göre dağıtılabilmektedir. Rollere göre dağıtım farklı katmanlardaki otoritelerce gerçekleştirilebilir.
• Coğrafi bölümler: Farklı lokasyonlardaki sistemler için farklı SO ihtiyacı olabilmektedir.
• Yük dengeleme: Aynı türden sertifikalar vermek için birden fazla Orta (Intermediate) SO kullanılması ağ yükünü bu otoriteler arasında dağıtır.
• Yedekleme ve hataya dayanıklılık: Birden fazla SO bulunması, herhangi bir otoritede meydana gelebilecek bir problem sırasında, organizasyondaki operasyonların aksamasının önüne geçecektir.

Hiyerarşik yapının yararları
SO hiyerarşisinin yönetime sağladığı bazı yararlar şu şekildedir:

• Esnek ve genişletilebilir bir yapı sağlanabilmektedir.
• Farklı departmanlarda, lokasyonlarda farklı PKI güvenlik ilkeleri uygulanabilmektedir.
• Orta veya daha alttaki bir SO’nin saldırıya maruz kalması diğer SO’lerine bağlı sistemlerin işleyişini etkilemez.
• Alt sistemlerin kontrolü yetki devri sayesinde departman sorumlularına veya yöneticilerine verilebilir.

AD-CS: Sertifikalar

Aktif Dizin Sertifika Servisi: Sertifikalar

Microsoft Office Communications Server (OCS), Microsoft Exchange Server, IIS sunucular ve bir çok Microsoft sistemi sertifikalara ihtiyaç duymaktadır. Bu sertifikaların üretilmesi, geçerliliğinin kontrol edilmesi, yetkilendirme yapılması gibi merkezi bir yönetimin sağlanması, sertifika taleplerinin otomatik olarak gerçekleştirilebilmesi için bir otorite oluşturulması, PKI adı verilen bir alt yapının kurulması ihtiyaç olmuştur. Bu amaçla, Windows Server 2003’te Certificate Services olarak, Windows Server 2008’de ise Active Directory Certificate Service adı verilen bir hizmet kullanılmaktadır.

Burada bahsedilen otomatik talep (auto enrollment) ile Windows bilgisayarlar Enterprise olarak kurulum gerçekleştirilen CA’lar üzerinden otomatik olarak sertifika kaydı gerçekleştirebilirler. Bir bilgisayar etki alanından grup ilkelerini indirince sertifikalarını da günceller. Eksik tipte bir sertifika mevcutsa bu sertifikayı Enterprise CA’dan talep eder, geçersiz olanlar ya iptal edilir ya da güncellenir.

Sertifikaların Kullanım Alanları
AD-CS tarafından desteklenen uygulamalardan bazıları şu şekildedir:

• S/Mime (Secure / Multipurpose Internet Mail Extensions) ve elektronik posta iletişimi
• Kablosuz bağlantılarda güvenlik
• VPN
• IPSec ile güvenilir veri iletişimi
• Web browser’daki sertifika ile kimlik doğrulama
• EFS ile veri şifrelemesi
• Akıllı kart ile kimlik doğrulama ve oturum açma
• SSL ve TLS ile güvenilir veri iletişimi, LDAP
• Dijital imza ile belge imzalama

Yararları

• Klasik PKI tarafından sunulan yararlar Windows PKI tarafında da geçerlidir.
• AD CS, organizasyonlara sertifika yönetimi ve dağıtımı için düşük maliyetli, verimli ve güvenli bir yol sunar.
• Son kullanıcı AD üzerinde kimlik doğruladıktan sonra, kendilerine özel anahtarları kullanmaları sağlanır. Böylece transparanlık sağlanır.
• Yazılımcılar Windows tarafından sunulan API’leri kullanarak kendilerine özel uygulamalar geliştirebilirler.

Sertifikaların İptali
Sertifikaların iptal edildiği durumlarda, sertifikaların geçerliliğini doğrulama girişiminde bulunan kişilere, bilgisayarlara ve uygulamalara sertifika iptali bilgilerini dağıtma gereği ortaya çıkar. İptal bilgileri verme gereği ve bunların zamanlanması, uygulamaya ve uygulamanın sertifika iptali denetimine bağlı olarak değişir.

Sertifika durumu ile ilgili iletişim için iki yol vardır:

• Sertifika İptal Listeleri (CRL): Düzenli olarak dağıtılan ve iptal edilen veya askıya alınan tüm sertifikaların seri numaraları gibi bazı bilgileri içerir. Bir istemcinin sertifika iptal durumunu denetleyebilmesi için, CA tarafından iptal edilen tüm sertifikalarla ilgili bilgilerin yer aldığı bir CRL'yi karşıdan yüklemesi gerekir. Bu durum hem fazla bant genişliği harcanmasına hem de fazla depo alanı istemektedir. Ayrıca bu listelerin sık sık değişmesi maliyeti arttırırken, uzun süre değişmemesi ise güvenliğe tehdit oluşturmaktadır. Tüm iptal edilen sertifikaların bulunduğu listeye Full CRL, Full CRL alındıktan sonra güncelleme yapılan iptal listesine ise Delta CRL adı verilir.
• Çevrimiçi Yanıtlayıcı: Çevrimiçi Sertifika Durumu Protokolü'ne (OCSP) dayanır. Çevrimiçi Yanıtlayıcılar kullanıldığında, hedef istemciler tüm sertifika iptal verilerini almaz sadece sorgulama yaptıkları sertifikanın durumunu alır. Sertifika durumunu imzalı olarak döner. Sonuçta Sertifika Otoritesi’ndeki sertifika veritabanında iptal edilmiş kaç sertifika olursa olsun, istek başına alınan veri miktarı sabittir.

Grup ilkeleri ile sertifikaların yönetimi
Bir Active Directory Etki Alanı Hizmetleri (AD DS) ortamında, sertifikalarla ilgili bazı işlemleri yönetmek için grup ilkeleri kullanılabilir. Grup ilkeleri ile gerçekleştirilebilecek bazı işlemler şunlardır:

• Kimlik bilgisi dolaşımı: AD DS'deki bir kullanıcıya özel X.509 sertifikalarının, sertifika isteklerinin ve özel anahtarların kullanıcı profilinden bağımsız olarak depolanmasına ve ağdaki herhangi bir bilgisayarda kullanılmasına olanak sağlar. Böylece, istemcilerin sertifikaları ve gizli anahtarları, istemcinin oturum açtığı bilgisayar ile AD üzerinde senkron olarak saklanabilmektedir. Bu durumda, daha yeni olan sertifika veya anahtar diğerini günceller ve istemci başka bir bilgisayarda oturum açtığında, güncel sertifikaları kullanarak işlemlerini gerçekleştirir. Sonuç olarak, hem istemci eski anahtar ve sertifikaları kullanmamış olur, hem de sertifika ve anahtarların bir bilgisayardan diğerine taşınması için operasyon yapılmasına gerek kalmaz.
• Sertifikaların otomatik kaydı: Grup ilkeleri kullanılarak; kullanıcılar, bilgisayarlar veya hizmetler sertifikalara otomatik olarak kaydettirilir. Kullanıcı ve bilgisayarlara verilen kayıt işlemleri otomatik olarak gerçekleştirilirken, ya şablonlar kullanılmalıdır ya da grup ilkeleri yapılandırılmalıdır.
• Sertifika yolu doğrulama: Grup ilkelerindeki sertifika yolu doğrulama ayarları ile Ara (Intermediate) Sertifika Otoritesi’ne ait sertifikaları dağıtma, güvenilmeyen sertifikaları engelleme, kod imzalama için kullanılan sertifikaları yönetme, sertifikalar ve sertifika iptal listeleri (CRL) için alma ayarlarını yapılandırma gibi bir çok işlem gerçekleştirilebilir.
• Sertifika dağıtımı: Sertifikalara olan güvenin yönetilmesi sağlanır. Grup ilkeleri ile güvenilir sertifikalar belirlenebilir, Verisign gibi dış Sertifika Otoriteleri’nden alınan ve iptal edilemeyen sertifikaların kullanımı sınırlandırılabilir veya önlenebilir. Not: Grup ilkeleri ile, bilgisayarların Trusted Root Certification Authorities konteynırına Sertifika Otoritesi sertifikaları eklenebilirken, kullanıcıların grup ilkelerine eklenememektedir.