E-defter imzalama makinesi ile internete açık muhasebe sunucusu arasındaki ağ izolasyonu nasıl yapılmalı?

İnternete açık bir muhasebe/ERP web sunucusu ile Mali Mühür akıllı kartının takılı olduğu imzalama makinesinin aynı ağ segmentinde bulunması veya aralarında doğrudan çift yönlü iletişimin açık bırakılması, kurumsal siber güvenlik açısından en yüksek riskli mimari hatalardan biridir. DMZ'deki bir web uygulamasının uzaktan kod çalıştırma (RCE), deserialization veya SQLi ile ele geçirilmesi durumunda, saldırganlar iç ağa yanal sıçrama (lateral movement) yaparak imzalama makinesine sızabilir ve akıllı kart mikrodenetleyicisine (CCID - Chip Card Interface Device) erişerek yetkisiz mali kayıtları imzalayabilir.

İmzalama makinesi, kurumun genel kurumsal LAN veya DMZ ağlarından tamamen izole edilmiş, yalnızca kendisine tahsisli bir 'Secure Signing Enclave' (Güvenli İmzalama VLAN'ı) içerisine yerleştirilmelidir. Güvenlik duvarında (NGFW) şu katı kurallar uygulanmalıdır:

• DMZ'den İmzalama VLAN'ına Giriş Yasağı (No Inbound from DMZ): DMZ'deki internete açık sunucudan imzalama makinesine doğru hiçbir TCP/UDP portu (RDP 3389, SMB 445, WinRM 5985, HTTP/HTTPS vb.) kesinlikle açılmamalıdır. Bütün gelen bağlantılar varsayılan olarak (Drop All) engellenmelidir.
• Yönetim Erişimi ve PAM Kısıtlaması: İmzalama makinesine doğrudan RDP erişimi yasaklanmalıdır. Yönetimsel müdahaleler sadece Tier-0 Ayrıcalıklı Erişim Yönetimi (PAM) çözümü ve donanım token'lı (FIDO2) çok faktörlü kimlik doğrulama (MFA) ile Jump Host üzerinden sağlanmalıdır. Grup İlkelerinde (GPO) Do not allow smart card device redirection kuralı etkinleştirilerek uzak oturumlara kart yönlendirmesi engellenmelidir.

DMZ sunucusunun imzalama makinesine doğrudan emir göndermesi yerine, ters yönlü (Pull-based) asenkron kuyruk mimarisi kurulmalıdır:

• DMZ'deki web sunucusu hazırlanmış ham e-defter XML paketini izole bir ara mesaj kuyruğuna (örneğin mTLS ile korunan Kafka veya RabbitMQ) veya şifreli bir nesne depolama alanına (MinIO/S3) bırakır.
• İmzalama makinesi üzerindeki servis ise periyodik olarak veya WebSocket üzerinden içeriden dışarıya doğru (Outbound Only) kuyruğu yoklar (pull eder). İmzalama makinesinin güvenlik duvarında yalnızca ilgili kuyruk sunucusunun portuna doğru giden (egress) bağlantıya izin verilir.
• İmza işlemi yerel CCID mikrodenetleyicisi üzerinden PKCS#11 API (akisp11.dll) çağrısıyla tamamlandıktan sonra imzalı berat ve XML yine dışarıya doğru kuyruğa geri yüklenir. Böylece internete açık sunucu hacklense dahi imzalama makinesinin IP'sine doğru tek bir paket bile gönderemez.

Fiziksel USB token'lar akıllı kart mikrodenetleyicileri (CCID) üzerinden çalışır ve eşzamanlı istekleri işleme kapasiteleri sınırlıdır. Ayrıca PIN kodunun bellekte (RAM) düz metin kalması bellek dump saldırılarına zemin hazırlar. Kurumsal ölçekte imzalama yapan yapılar için önerilen en güvenli standart, USB token yerine FIPS 140-2 Level 3 onaylı bir Donanımsal Güvenlik Modülü (Network HSM) konumlandırmaktır:

• Ağ tipi HSM cihazı, imzalama anahtarlarını donanımsal kriptografik sınır içinde saklar; anahtarlar hiçbir koşulda bellekten veya diskten dışarı çıkarılamaz (tamper-evident).
• HSM üzerinde mTLS, IP beyaz listeleme ve M-of-N (Quorum) kuralı ile birden fazla yöneticinin kriptografik onayı olmadan toplu imza atılması engellenebilir.

İmzalama işlemi sırasında XAdES-BES veya XAdES-T/A formatları için KamuSM ESHS sunucularından Çevrimiçi Sertifika Durum Protokolü (OCSP) ve Sertifika İptal Listesi (CRL) kontrolleri yapılmalıdır. İmzalama makinesinin internete genel erişimi olmamalı; sadece KamuSM'nin resmi OCSP (ocsp.kamusm.gov.tr:80) ve CRL adreslerine TLS denetimli NGFW URL filtreleme veya ileri yönlü proxy (Forward Proxy) üzerinden sınırlı çıkış izni verilmelidir.