Hastanelerin sterilizasyon ve enfeksiyon kontrol ünitelerinde uygulanan kritik protokollerden biri "Otomatik Gece UVC Dezenfeksiyonu"dur. Ameliyathaneler ve yoğun bakım odaları gece saat 03:00'te boşaltılır. Tavana monte edilmiş güçlü ultraviyole (UVC) mikrop kırıcı lambalar otomatik zamanlayıcı ile devreye girer. Yarım saat boyunca odayı yoğun bir radyasyonla tarar; yüzeylerdeki tüm virüsleri, bakterileri ve mantar sporlarını DNA'larını parçalayarak yok eder.
Şimdi düşünün ki o UVC lambasının balastı veya elektrik sigortası üç hafta önce atmıştır. Cihazın üzerinde yeşil bir hazır ışığı yanmakta ama lamba aslında hiç ultraviyole ışık yaymamaktadır. Gece personeli "Nasıl olsa otomasyon çalışıyor" diyerek odayı kontrol etmez.
Sabah cerrahlar içeri girer, ameliyatlar başlar. Üç gün sonra ameliyat edilen beş hastada birden hastane mikrobu (Pseudomonas) ürer, hastalar yoğun bakıma kaldırılır ve tüm cerrahi blok karantinaya alınır! Otomasyona körü körüne güvenilmiş, fakat otomasyonun çalışıp çalışmadığını denetleyen o tek göz ihmal edilmiştir.
Web güvenliği ve kurumsal dijital varlıklarda da her sabah yüzlerce şirketi yerle bir eden en büyük panik dalgası tam olarak bu sterilizasyon arızasıdır: Let's Encrypt SSL sertifikasının arka plandaki otomatik yenileme (cron) görevinde sessizce boğulması ve sabah patlayan o kırmızı ekran.
Pazartesi sabahı şirketin yönetim kurulu başkanı, kurumsal web sitesine girmek ister: sirketadi.com.tr.
Normalde sitenin sol üstünde zarif bir asma kilit simgesi görünürdü. Fakat bu sabah tarayıcı (Google Chrome) siteyi hiç açmaz! Bütün ekranı kaplayan, kan kırmızı renkli, üzerinde kocaman bir ünlem işareti olan o korkunç güvenlik duvarı patlar:
Bağlantınız Gizli Değil Saldırganlar sirketadi.com.tr sitesinden bilgilerinizi (örneğin parolaları, mesajları veya kredi kartlarını) çalmaya çalışıyor olabilir. NET::ERR_CERT_DATE_INVALID
Şirket genel merkezinde deprem etkisi yaratır. Şirket patronu bilgi işlem müdürünü odasına çağırır: "Bütün sistemlerimizi hacklemişler! Ekran kırmızı oldu, korsanlar kartları çalıyor diyor! Müşteriler arıyor, dolandırıcı mısınız diyorlar! Derhal bu korsanları siteden temizleyin!"
Oysa ne bir Rus korsan vardır, ne de site hacklenmiştir. Olay çok daha basittir: Sitenin SSL sertifikasının süresi dün gece saat 23:59 itibarıyla dolmuştur!
İnternet dünyasını devrimsel bir şekilde ücretsiz şifrelemeyle tanıştıran Let's Encrypt, sertifikalarını 1 yıllık değil, bilerek ve isteyerek 90 günlük periyotlarla verir. Mantık şudur: Şifreleme anahtarları sık sık yenilenmeli ve bu işlem insan eliyle değil, sunucudaki otomatik bir betik (Certbot / cPanel AutoSSL) tarafından her 60 günde bir sessizce arka planda yürütülmelidir.
Peki o zaman bu sistem neden 90. günde patlamıştır?
Sistem yöneticisi sunucuya SSH ile bağlanıp Certbot yenileme loglarını (/var/log/letsencrypt/letsencrypt.log) açar. Ve o acı gerçeği görür:
Certbot failed to authenticate some domains (authenticator: webroot).The Certificate Authority failed to download the temporary challenge files.Domain: sirketadi.com.trDetail: 185.120.xx.xx: Fetching http://sirketadi.com.tr/.well-known/acme-challenge/4k9L_8x...: Timeout during connect (likely firewall problem)
Certbot, sertifikayı yenilemek için son 30 gündür her gece saat 02:00'de Let's Encrypt doğrulama sunucularına sinyal göndermiş; Let's Encrypt ise alan adının gerçekten o sunucuya ait olduğunu teyit etmek için sunucunun kök dizinine bir dosya bırakmaya çalışmıştır (HTTP-01 Challenge).
Fakat tam 20 gün önce şirketin web tasarımcısı .htaccess dosyasına kulaktan dolma bir "güvenlik kodu" eklemiştir:
Bu kural, adı nokta ile başlayan tüm gizli klasörlere erişimi yasaklamaktadır!
Doğrulama dosyası .well-known klasörünün altına yazılmaya çalışıldığında web sunucusu 403 Forbidden basmış; Let's Encrypt dosyayı okuyamamış ve sertifika yenileme işlemi sessizce başarısız olmuştur.
Certbot son 20 gündür her gece sessizce hata almış; kimse bu logları kontrol etmediği için 90. günün gecesinde sertifika ölmüş ve sabah o kırmızı felaket ekranı patlamıştır.
Modern tarayıcılar için süresi dolmuş bir SSL sertifikası, sahte bir pasaport gibidir. Tarayıcı "Bu sertifika dün güvenliydi, bugün de idare edeyim" demez.
Bir e-ticaret sitesi için bu kırmızı ekranın bedeli telafi edilemez:
Ziyaretçilerin %94'ü kırmızı uyarıyı gördüğü anda sayfayı kapatıp kaçar; çünkü tarayıcı onları doğrudan "Kredi kartınız çalınacak" diye uyarmaktadır.
Google reklam kampanyaları (Google Ads) süresi dolan sertifikayı anında tespit eder ve reklamları durdurur.
Şirketin dijital itibarı sıradan bir kullanıcı gözünde "hacklenmiş ve güvensiz" olarak damgalanır.
Otomasyona güvenmek güzeldir; ancak otomasyonun arkasında nöbet tutan bir izleme sistemi kurmak zorunludur:
Harici SSL İzleme (Uptime Robot / Pingdom): Sunucunun kendi cron kayıtlarına güvenmekle yetinmeyin. UptimeRobot, Oh Dear veya Better Uptime gibi harici izleme servislerine alan adınızı ekleyin. Bu servisler sertifikanızın bitmesine 15 gün ve 7 gün kala telefonunuza SMS ve e-posta ile otomatik alarm gönderir: "Dikkat! sirketadi.com SSL sertifikası 7 gün sonra doluyor, henüz yenilenmedi!"
Kuru Çalıştırma Testi (Dry-Run): Bir web sitesine yeni bir .htaccess veya güvenlik duvarı kuralı eklediğinizde mutlaka Certbot'un doğrulama testini elle çalıştırın:
certbot renew --dry-run
Eğer bu komut "Congratulations, all simulated renewals succeeded" diyorsa arkanıza yaslanabilirsiniz; hata veriyorsa engeli hemen çözün.
DNS-01 Doğrulaması: Eğer .well-known klasörüyle uğraşmak istemiyorsanız, Cloudflare API entegrasyonuyla Certbot'un DNS-01 doğrulamasını kullanın. Bu yöntemde hiçbir web dosyasına ihtiyaç duyulmaz; Certbot doğrudan Cloudflare DNS'ine geçici bir TXT kaydı girerek sertifikayı %100 başarıyla ve engellere takılmadan yeniler.
UVC lambasının yandığını gözüyle kontrol etmeyen sağlıkçı hastayı nasıl enfeksiyona kurban ediyorsa; SSL sertifikasının yenilenip yenilenmediğini takip etmeyen sistem mühendisi de şirketini kırmızı ekran rezaletine mahkûm eder. Otomasyon bir rahatlıktır; ancak denetlenmeyen otomasyon, bir sabah kapınızı çalacak saatli bir bombadır.