Servis ağında mTLS, bir servis ağı (service mesh) altında çalışan mikroservislerin birbiriyle konuşurken hem trafiği şifrelemesini hem de karşı tarafın kimliğini sertifikayla doğrulamasını sağlayan bir mekanizmadır. Sıradan TLS’te yalnızca sunucu kendini kanıtlar; burada istemci de kendi sertifikasını sunar, yani iki taraf da “sen gerçekten iddia ettiğin servis misin?” sorusunu birbirine sorar. Bunun sonucunda ağ içindeki hiçbir bağlantı kör bir güvenle kurulmaz.

Servis ağında mTLS, mikroservisler arasındaki her çağrıyı hem şifreleyen hem de iki ucun kimliğini sertifikayla teyit eden; ağ içi güveni kimliğe bağlayan katmandır.

Nasıl Çalışır?

Servis ağı, her pod’un yanına bir sidecar vekil (genellikle Envoy) yerleştirir. Uygulama kodu düz HTTP çağrısı yaptığını sanır; oysa trafik sidecar tarafından yakalanır, karşı servisin sidecar’ıyla bir TLS el sıkışması yürütülür ve iki taraf birbirinin sertifikasını doğrular. Sertifikaları da ağın kontrol düzlemi dağıtır ve kısa ömürlü tutup otomatik yeniler. Böylece uygulama geliştiricisi tek satır kriptografi kodu yazmadan tüm servisler arası trafik karşılıklı TLS ile korunmuş olur.

Kimliği Ağa Değil Servise Bağlamak

mTLS’in en önemli katkısı, güveni IP adresinden ve ağ konumundan koparıp kriptografik kimliğe taşımasıdır. Klasik yaklaşımda “aynı ağdaysan güvenilirsin” varsayımı hâkimdi; oysa saldırgan bir kez içeri girdiğinde bu varsayım ona serbest dolaşım hakkı verir. Her servisin kendi sertifikasıyla tanımlandığı bir modelde ise, ele geçirilmiş bir konteyner başka bir servisin kimliğine bürünemez. Bu yönüyle mTLS, sıfır güven mimarisinin doğu-batı (servisler arası) trafiğe uygulanmış somut biçimidir.

Yetkilendirmeyle Birlikte Anlam Kazanır

mTLS “kimsin?” sorusunu güvenilir biçimde yanıtlar, ama “ne yapmana izinli?” sorusu ayrı bir katmandır. Doğrulanmış kimlik üzerine kurulan yetkilendirme politikalarıyla, örneğin yalnızca ödeme servisinin veritabanı servisine belirli bir uç noktadan erişebilmesi kuralı tanımlanır. mTLS’in sağladığı sağlam kimlik olmadan bu tür kurallar sahte kimliklerle aşılabilir; kimlik doğrulaması ile yetkilendirme birbirini tamamlayan iki adımdır.

mTLS’i devreye alırken pratikte birkaç aşama izlenir: önce şifreli ve şifresiz trafiğe birlikte izin veren geçiş moduyla başlanır, sonra sıkı moda geçilip şifresiz trafik tamamen reddedilir. Sertifika ömürlerinin kısalığı ve otomatik yenilemenin sorunsuz çalışması özellikle takip edilmelidir; yenilenmeyen bir sertifika sessizce kesinti üretebilir.

• Önce geçiş (permissive) moduyla başlayıp trafiği gözlemleyin
• Ardından sıkı (strict) moda geçip şifresiz trafiği reddedin
• Sertifika ömrünü kısa tutup otomatik yenilemeyi doğrulayın
• Doğrulanmış kimlik üzerine servisler arası yetki politikaları yazın
• Sidecar enjeksiyonunun tüm iş yüklerini kapsadığını denetleyin

mTLS, daha geniş bir servis ağı güvenliği tablosunun tek parçasıdır; kontrol düzleminin sertleştirilmesi, politika yönetimi ve gözlemlenebilirlik de aynı resme dahildir. Servis ağı mimarinizin gerçekten doğru yapılandırıldığını ve trafiğin beklendiği gibi şifrelendiğini bağımsız bir gözle teyit etmek için bunu bir altyapı ve mimari gözden geçirme kapsamında ele almak yerinde olur.