Mali mühür (HSM) sunucusu ile ERP arasındaki yerel ağ iletişiminde self-signed SSL kullanmak güvenlik zafiyeti yaratır mı?

Merhaba, öncelikle yerel ağda dahi olsa Mali Mühür (HSM) sunucusu gibi kritik kriptografik işlemleri (e-imza oluşturma, e-defter beratı mühürleme) gerçekleştiren bir donanım ile ERP arasındaki iletişimde self-signed (kendinden imzalı) sertifika kullanmak ciddi güvenlik zafiyetlerine ve uyumluluk risklerine kapı aralamaktadır.

Birçok sistem yöneticisi, yerel ağların (LAN) tamamen güvenli bir izole alan (trusted zone) olduğunu varsayma hatasına düşer. Ancak modern siber güvenlik mimarilerinde 'Zero Trust' (Sıfır Güven) yaklaşımı benimsenmelidir. Self-signed sertifikaların en büyük problemi, sertifikanın kimlik doğrulama (authentication) aşamasında güvenilir bir Kök Sertifika Otoritesine (Root CA) dayanmamasıdır. Bu durum, yerel ağınıza sızmayı başarmış bir saldırganın çok kolay bir şekilde Man-in-the-Middle (MitM - Ortadaki Adam) saldırısı gerçekleştirmesine olanak tanır. Saldırgan, ERP ile HSM arasına girerek sahte bir self-signed sertifika sunabilir ve istemci (ERP) sistem bu sertifikaya güvenmeye programlandığı (veya güvenliği atladığı) için aradaki trafiği okuyabilir, daha da kötüsü HSM'e giden mühürleme isteklerini manipüle edebilir.

Özellikle fidye yazılımı (ransomware) grupları ağda yatay hareket (lateral movement) yaparken, şifrelenmemiş veya zayıf şifrelenmiş trafiği izleyerek kritik sunucuların parolalarını ve API token'larını ele geçirmeye odaklanırlar. HSM gibi genellikle FIPS 140-2 veya FIPS 140-3 Seviye 3 uyumluluğu beklenen donanımlarda, iletişim kanalının zayıflığı donanımın kendi güvenliğini de boşa düşürür. Self-signed sertifikalar ayrıca merkezi bir iptal (Revocation) mekanizmasına (CRL veya OCSP) sahip değildir. Özel anahtar sızdırıldığında, sertifikayı iptal edip tüm sistemleri anında korumaya alamazsınız.

Kurumsal siber savunma stratejisi olarak yapmanız gereken, yerel ağınızda bir Public Key Infrastructure (PKI) kurarak, kurumunuza ait bir Internal Root CA üzerinden bu sertifikaları üretmektir. ERP sisteminize (istemci) sadece kendi Root CA'inizin güvenli olduğunu belirtmelisiniz. Ayrıca, HSM'den alınan loglar ve RDP/SSH erişim logları (Windows için Event ID 4624, 4625 vb.) bir SIEM üzerinde yakından izlenmeli, ağ segmentasyonları katı bir şekilde uygulanmalıdır. Aksi halde API güvenlik katmanınız en zayıf halkanız olan self-signed sertifikadan kırılacaktır.