Active Directory Sertifika Hizmetleri tanımlandı

İletişim için güvenli bir kanal oluşturmak 100 yılı aşkın bir geçmişe sahip bir fikirdir. Bugün, güvenli veri aktarımı yöntemleri çoğu teknolojiye o kadar derinlemesine entegre edilmiştir ki, toplumun büyük bir kısmının bu yöntemlerin nasıl çalıştığına dair hiçbir fikri yoktur. Açık Anahtar Altyapısı (PKI), güvenli bir iletişim kanalı oluşturmanın temel yöntemlerinden biridir. PKI, iletişimin güvenliğine ve kimliklerin doğrulanmasına yardımcı olmak için dijital anahtarlar ve sertifikalar kullanan bir çerçevedir.

Bu yazıda, Microsoft'un Ortak Anahtar Altyapısı (Active Directory Sertifika Hizmetleri) uygulamasını ve bu önemli iletişim ve kimlik doğrulama hizmetinde bulunan yaygın güvenlik açıklarını tespit etme ve güvenlik altına alma konusunda bilmeniz gerekenleri ayrıntılı olarak ele alacağız.

Active Directory Sertifika Hizmetleri Nedir?

Active Directory Sertifika Hizmetleri (AD CS), Microsoft'un Windows Server 2008'de tanıttığı ve en küçük kuruluşlara bile PKI sertifikaları verme ve yönetme olanağı sağlayan sunucu rollerinden biridir. Active Directory Sertifika Hizmetleri özünde bir sertifika yetkilisinden (CA) oluşur. CA, Active Directory'deki (AD) nesnelere sertifika imzalamaktan ve vermekten sorumludur. Başarılı bir PKI güven üzerine kuruludur. CA bir sertifikayı imzaladığında onay damgasını sağlar. Dolayısıyla, bu CA'ya güvenen herhangi bir varlık, sertifikanın orijinalliğinden emin olabilir. Yani, CA'nın güvenliği ihlal edilmediği sürece.

Son birkaç yılda Active Directory Sertifika Hizmetlerini hedef alan saldırılarda artış yaşandı. Bu saldırılar, tam AD'nin tehlikeye girmesiyle sonuçlanabilecek ayrıcalık artışına izin veren yanlış yapılandırmalardan yararlanır. Korkmayın, sertifika yetkilinizin fişini çekmenin zamanı gelmedi. AD CS, saldırılara dayanacak ve kuruluşunuza güvenli bir yöntemle hizmet verecek şekilde güçlendirilebilir.

Active Directory Sertifika Hizmetleri için gereksinimler ve kullanım örnekleri

Active Directory Sertifika Hizmetleri, Sunucu İşletim Sistemini (OS) çalıştırmak için gerekenin ötesinde bir Microsoft lisansı gerektirmez. AD CS, Sunucu Yöneticisi Kontrol Paneli aracılığıyla eklenebilen bir Windows Sunucu rolüdür. AD CS Rolü birden fazla farklı hizmet teklifinden oluşur. Daha önce bahsedilen CA, bu hizmetlerden ilkidir ve genellikle AD CS'nin kendisiyle eşanlamlıdır. Ek hizmetler arasında web kaydı, politika tabanlı sertifika kaydı ve hatta TPM anahtar doğrulaması yer alır.

Kuruluşlar, intranet siteleri, e-posta, kod imzalama, şifreleme dosya sistemleri, akıllı kart kimlik doğrulaması vb. gibi dahili hizmetlere sertifika vermek için AD CS'yi kullanabilir. Birçok üçüncü taraf hizmet, yönetilen bir PKI için entegrasyon seçenekleri sunar. VMware ESXi gibi hipervizörler, AD CS altyapınız adına sertifikalar veren bir ikincil (alt) CA oluşturan entegrasyonlara izin verir. Sanal Özel Ağ (VPN) ve kablosuz sağlayıcılar benzer entegrasyonlar sunar. Bu entegrasyonların güvenlik açığı yaratmayacak şekilde dikkatlice yapılandırılması gerekir. İster AD CS'yi kullanarak yeni bir PKI dağıtmayı düşünüyor olun, ister bir PKI'ya sahip olduğunuzu yeni öğrenmiş olun, dikkat edilmesi gereken bir takım güvenlik riskleri vardır.

Yaygın AD CS güvenlik riskleri

AD CS ile ilişkili güvenlik riskleri öncelikle tehlikeli varsayılanlara ve yanlış yapılandırmalara bağlanabilir. Bu risklere girmeden önce saldırganların AD'ye saldırmak için sertifikaları nasıl kullandığını anlamak önemlidir.

Basitçe söylemek gerekirse AD, kullanıcıların kimliğini doğrulamak için Kerberos protokolünü kullanır. AD, Kerberos kimlik doğrulama sürecini güvence altına almak için kendi CA'sı tarafından verilen sertifikaları kullanabilir. Doğru yapılandırma verildiğinde, bir saldırgan hesap parolalarını bilmeye gerek kalmadan AD'de kimlik doğrulaması yapmak için bu Kerberos biletlerinden yararlanabilir. Will Schroeder ve Lee Christensen, AD CS'nin kötüye kullanılması konusunda otorite haline gelen eserin yazarıdır. Bu saldırı stratejilerinin daha fazla ayrıntısına buradan göz atabilirsiniz.

Şablon ayarları ve izinler

Active Directory Sertifika Hizmetleri sorunlarının çoğunluğu, tehlikeli CA şablonu ayarlarından ve bu şablonlardaki izinlerden kaynaklanır. Genellikle kullanıcılar yalnızca kendileri için sertifika isteyebilir. Ancak yaygın bir sertifika şablonu yanlış yapılandırması, kullanıcıların, yöneticiler de dahil olmak üzere başka herhangi bir kullanıcı adına sertifika talep etmesine olanak tanır. Bu yapılandırma, sertifika isteğinde konu adı sağlanabildiğinde mevcuttur.

Yönetici adına bir sertifika verildiğinde, saldırgan bir Kerberos bileti talep edebilir ve AD'de yönetici hesabı olarak kimlik doğrulayabilir. Bu sorunu tahmin edersek, kullanıcılar sertifika şablonlarında değişiklik yapabiliyorsa, bu tehlikeli yapılandırmalar herhangi bir şablona uygulanabilir ve yukarıda açıklanan yöntemin aynısı kullanılarak kötüye kullanılabilir.

Varsayılan ayarlar ve yanlış yapılandırmalar

Sertifika şablonlarının ötesinde, AD CS'nin kendisiyle ilgili iki yaygın yanlış yapılandırma vardır. Bu yanlış yapılandırmalar, AD CS yüklenirken varsayılan ayarlardır. Birincisi tek katmanlı bir altyapı kullanmaktır. Microsoft, birden çok sunucu oluşturmayı ve çevrimdışı bir kök CA'yı sürdürmeyi içeren çok katmanlı bir dağıtımın uygulanmasını önerir. Çevrimdışı bir kök CA ile çok katmanlı bir altyapının dağıtılması, hizmetin bütünlüğünü koruyan daha güvenli bir ortam oluşturur. Bir alt CA'nın güvenliği ihlal edilirse, kök CA'nın değiştirilmesinden daha kolay bir şekilde değiştirilebilir. Microsoft, belgelerinde bu en iyi uygulamayla ilgili daha fazla bilgi sağlar.

İkinci tehlikeli temerrüt denetim eksikliğidir. Tehlikeli yanlış yapılandırmaları sürekli taramanın ve düzeltmenin ötesinde, tehditleri tespit etmenin tek yöntemi yerleşik AD CS denetiminde yatmaktadır. Ne yazık ki çoğu sistem yöneticisi bunların varlığından bile habersizdir çünkü bir CA'nın GUI kurulumu sırasında denetimi etkinleştirme seçeneği yoktur. Bu yapılandırma, sertifika hizmetleri yüklendikten sonra CA sunucularında gerçekleştirilir. Microsoft, denetimin CA ek bileşen GUI'si aracılığıyla veya certutil kullanılarak komut satırı üzerinden yapılandırılabileceğini açıklar.

Yanlış yapılandırmaları tespit etme ve Active Directory Sertifika Hizmetlerinin güvenliğini sağlama

Başarısızlığa uğramak için pek çok fırsat varken hâlâ umut vardır. Schroeder ve Christensen, bu sorunların tespit edilmesine yardımcı olmak için iki yıl önce PSPKIAudit'i yayınladı. O zamandan beri Jake Hildreth, aracı Çilingir'de tutarlı güncellemeler yapıyor. Bu araçların her ikisi de topluluğun kullanımına ücretsiz olarak sunulmaktadır.

Çilingirin gücü, AD CS yanlış yapılandırmalarını tespit ederken ve düzeltirken sunduğu esneklikte gerçekten parlıyor. Doğru duydunuz, bu araç AD CS sorunlarını çözecektir. Çilingiri "mod 1" ile çalıştırmak, tespit edilen tüm güvenlik açıklarının yanı sıra her bir öğeyi düzeltmek için ilgili kodun çıktısını alacaktır. Tam otomatik seçenekler de vardır, ancak bu yöntemin her ortamda çalıştırılması güvenli olmalıdır.

Çözüm

Active Directory Sertifika Hizmetleri çoğu kuruluşta değerli bir araçtır. AD ve diğer ürünlerle entegrasyonları bir PKI'dan beklenen değerli faydaları sağlar. Ancak bu, AD'yi potansiyel olarak savunmasız bırakma zorunluluğunu da beraberinde getiriyor. Neyse ki, AD CS ile ilişkili yanlış yapılandırmalar kolaylıkla tespit edilip azaltılabilir. Sağlıklı bir AD CS altyapısının sürdürülmesi için bu güvenlik risklerinin sürekli olarak tespit edilmesi ve izlenmesi gerekir. Bir örümceğin bir zamanlar söylediği gibi, büyük güç büyük sorumluluk getirir.