Kısaca
Özet zinciri, zaman damgası, imza anahtarı: kavramları sade anlattık. Anahtar kimin elinde, yapılandırma nasıl yedeklenir, kutu değişirse arşiv nasıl devredilir?
"İmzalı arşiv" ne demek?
Kayıtların imzalı olduğunu söylemek kolay. Denetçi ya da bilirkişi "kim imzaladı, anahtar nerede" diye sorduğunda cevabın da kolay olması gerekir. Bu yazı o cevabı veriyor; önce kavramlar, sonra pratik.
Hotspot-Box arşivinde iki mekanizma birlikte çalışır: özet zinciri ve zaman damgası. Birincisi kayıtların birbirine bağlı olduğunu, ikincisi belirli bir anda var olduklarını kanıtlar.
Özet zinciri: her gün öncekine bağlı
Özet (hash), bir dosyanın parmak izidir. SHA-256 algoritması herhangi bir dosyadan 64 karakterlik bir dizi üretir. Dosyada tek bir karakter değişirse parmak izi tamamen değişir; parmak izinden dosyaya geri dönülemez.
Kutu her gün kapanırken o günün kayıt dosyalarının özetini alır. Sonra bu özeti önceki günün özetiyle birlikte tekrar özetler. Böylece bugünün parmak izi, geçmişin tamamına bağlıdır. Üç ay önceki bir satırı değiştirirseniz o günün özeti değişir, ertesi günün özeti değişir ve zincir bugüne kadar kopar.
Zincir kutunun kurulduğu gün başlar. Daha önceki kayıtlar geriye dönük imzalanmaz; bu dürüst bir sınırdır ve kurulum tarihini bilmeniz gerekir.
Zaman damgası: "bu özet o gün vardı"
Özet zinciri bütünlüğü kanıtlar ama zamanı kanıtlamaz. Bütün bir zinciri bugün sıfırdan üretip "iki yıldır var" demek teorik olarak mümkündür. Zaman damgası bu kapıyı kapatır.
RFC 3161, zaman damgası için uluslararası bir standarttır. Akış şöyle:
- Kutu günün özetini (yalnızca özeti; kayıtların kendisi değil) zaman damgası servisine gönderir.
- Servis, özetin yanına kendi saatini yazar ve bu ikiliyi kendi özel anahtarıyla imzalar.
- İmzalı paket, yani zaman damgası tokeni, kutuya döner ve günün dizininde damga dosyası olarak saklanır.
Token, "bu parmak izi şu tarih ve saatte bize sunuldu" demenin imzalı biçimidir. Kutu bunu kendisi üretemez; servisin anahtarı kutuda değildir. Bu yüzden damga, işletmeden bağımsız bir tanıktır.
Peki anahtar kimde?
Burada sık yanlış anlaşılan nokta var. Zaman damgasını imzalayan anahtar sizin değil, zaman damgası servisinindir. Siz o anahtarı tutmazsınız, yedeklemezsiniz, kaybedemezsiniz. Servis anahtarını korur ve sertifikasını yayımlar.
Sizin elinizde duran üç şey vardır:
| Ne | Ne işe yarar | Nerede |
|---|---|---|
| Damga dosyaları (token) | Her günün zaman kanıtı | Günün dizininde; SFTP kopyasında |
| Servisin sertifika zinciri | Tokeni doğrulamak için gerekli | Dışa aktarılan ZIP'te; servisten yeniden alınabilir |
| Zincirin son özeti | Yeni günün bağlanacağı nokta | Kutuda; manifest dosyalarında |
Doğrulama için özel anahtara ihtiyaç yoktur; sertifika yeter. Bu yüzden arşivi yıllar sonra, kutu ya da servis olmadan da openssl ts -verify ile doğrulayabilirsiniz. Komutları arşiv içeriğini anlattığımız yazıda bulursunuz.
Internet yokken ne olur?
Damga servisine ulaşılamazsa gün kapanır, özet alınır ve damga isteği kuyruğa girer. Bağlantı gelince kuyruktaki günler sırayla damgalanır. Panelde "bekleyen gün" sayısı görünür ve servis ulaşılamaz durumdaysa alarm gelir.
Bekleyen gün sıfırdan farklıysa damga tarihi ile kayıt tarihi arasında fark oluşur. Bu fark gizlenmez; damga dosyasının içindeki saat gerçek alınma saatidir. Kesinti uzun sürerse bu durumu kurulum notlarınıza yazın.
Yapılandırma yedeği: anahtar yok, ama ayar çok
Anahtarınız olmasa da kutuda yedeklenmesi gereken bir şey vardır: yapılandırma. İçinde VLAN tanımları, portal ayarları, giriş yöntemleri, SMS sağlayıcı bilgileri, SFTP hedefi, alarm kanalları, roller ve saklama süresi bulunur. Kutu arızalanırsa bu ayarları ezberden yeniden girmek saatler alır ve hata yapılır.
Pratik kural:
- Kurulum tamamlandığında bir yapılandırma yedeği alın; kurulumcunuz nereden alındığını gösterir.
- Her anlamlı ayar değişikliğinden sonra tekrar alın.
- Yedeği arşiv kopyasıyla aynı sunucuda değil, ayrı ve erişimi kısıtlı bir yerde saklayın; içinde sağlayıcı kimlik bilgileri vardır.
- Yedeğin tarihini ve alanın adını not edin.
Kutu değişirse: devir teslim
Kutu ömrünü doldurur ya da daha büyük bir modele geçersiniz. Arşivin devri üç adımdan oluşur:
- Eski arşivi güvenceye alın. Son günü de dahil ederek panelden tam bir dışa aktarma yapın. SFTP kopyasının güncel olduğunu hedef sunucuda görün. Eski kutuyu kapatmadan önce son günün damgasının alındığını kontrol edin.
- Yeni kutuyu yapılandırma yedeğinden kurun. VLAN, portal ve sağlayıcı ayarları geri gelir. SFTP hedefinde yeni kutu için ayrı bir dizin açın; eski dizinin üzerine yazılmasın.
- Geçiş tarihini belgeleyin. Yeni kutunun zinciri kurulduğu gün başlar. Eski zincir, son özetiyle birlikte dışa aktarılan ZIP'te kapanmış durur. Denetimde iki dönemi yan yana sunarsınız: eski ZIP ve doğrulama raporu, yeni kutunun paneli.
Eski kutunun diskini elden çıkarmadan önce silin; üzerinde iki yıllık kayıt durur. Silme işlemini de not edin.
Kısa özet
- Zincir bütünlüğü kanıtlar, damga zamanı kanıtlar.
- Damgayı imzalayan anahtar servistedir; sizde token ve sertifika durur.
- Doğrulama için özel anahtar gerekmez.
- Yedeklenecek şey yapılandırmadır; içinde kimlik bilgileri olduğu için ayrı saklanır.
- Kutu değişirse eski zincir kapanır, yenisi başlar; ikisini de belgeleyin.
Kutu ve sanal makine sürümlerinde mekanizma aynıdır; ayrıntılar için kutu ve sanal cihaz sayfalarına bakabilirsiniz. Teknik sorularınız için iletişime geçin.