NGINX, ACME protokolü için yerel destek sunmaya başladı

• NGINX, SSL/TLS sertifikalarının verilmesini ve yenilenmesini otomatikleştiren ACME protokolü için yerel destek sunan bir önizleme sürümü yayımladı
• Rust tabanlı yeni modül ngx_http_acme_module sayesinde, harici araçlara gerek kalmadan yalnızca NGINX yapılandırmasıyla sertifika isteme, kurma ve yenileme mümkün hale geliyor
• Bu sayede Certbot gibi harici araçlara bağımlılık azalırken, güvenlik ve platform bağımsızlığı artıyor
• İlk sürüm HTTP-01 challenge desteği sunuyor; TLS-ALPN ve DNS-01 desteği ise gelecekte planlanıyor
• ACME desteğinin yalnızca web için değil, IoT ve edge computing ortamlarında güvenlik otomasyonu açısından da önemli bir rol oynaması bekleniyor

---

Genel Bakış ve Başlıca Değişiklikler

• NGINX, ACME protokolü desteğinin önizleme sürümünü yayımladı
• Yeni modül ngx_http_acme_module, sertifika isteme, kurma ve yenileme işlemlerinin doğrudan NGINX yapılandırmasından yönetilebilmesi için tasarlandı
• Bu ACME desteği, dahili olarak NGINX-Rust SDK kullanıyor ve Rust tabanlı dinamik bir modül olarak sunuluyor
• Bu özellikten yalnızca açık kaynak kullanıcıları değil, NGINX Plus kurumsal müşterileri de yararlanabiliyor
• Certbot gibi mevcut harici araçlara bağımlılığın azaltılması, sertifika yönetiminde güvenlik ve verimliliği artırıyor

ACME Protokolüne Giriş

• ACME (Automated Certificate Management Environment) protokolü, SSL/TLS sertifikalarının verilmesini, doğrulanmasını, yenilenmesini ve iptal edilmesini otomatikleştiren bir iletişim protokolüdür
• İstemciler, CA (Certificate Authority) ile otomatik iletişim kurarak aradaki manuel işlemlere gerek kalmadan sertifika yaşam döngüsünü yönetebilir
• Protokol, Internet Security Research Group (ISRG) tarafından 2015 yılında Let’s Encrypt projesi kapsamında geliştirildi ve yayımlandı
• ACME’den önce sertifika verme süreci daha manueldi ve maliyet ile hata olasılığı daha yüksekti
• En güncel ACMEv2, doğrulama yöntemleri ve wildcard desteği gibi çeşitli ek özelliklerle daha fazla esneklik ve güvenlik sağlıyor

NGINX’te ACME Tabanlı Sertifika Otomasyon Akışı

• NGINX’te ACME protokolüyle sertifika yaşam döngüsünün otomasyonu aşağıdaki 4 adımdan oluşuyor

• 1. ACME sunucusu yapılandırması

  • ACME özelliğini etkinleştirmek için acme_issuer ile ACME sunucusunun dizin URL’si mutlaka belirtilmeli
  • Sertifika işlemleri sırasında istemci iletişim bilgileri ve durum verilerinin saklanacağı yol gibi seçenekler de tanımlanabiliyor

• 2. Paylaşımlı bellek (zone) tahsisi

  • acme_shared_zone ile sertifikalar, özel anahtarlar ve challenge verilerini saklamak için ek bir paylaşımlı bellek zone yapılandırılabiliyor
  • Varsayılan boyut 256K ve ihtiyaçlara göre artırılabiliyor

• 3. Challenge yapılandırması

  • Mevcut önizleme sürümü yalnızca HTTP-01 challenge desteği sunuyor ve bu, alan adı sahipliğini doğrulamak için kullanılıyor
  • Bunun için NGINX yapılandırmasında 80 portu dinleyicisi ve varsayılan 404 yanıt ayarı tanımlanmalı
  • Gelecekte TLS-ALPN ve DNS-01 challenge desteği eklenecek

• 4. Sertifika verme ve yenileme

  • acme_certificate direktifinin server bloğuna eklenmesiyle ilgili alan adı için TLS sertifikası verme/yenileme otomatikleştirilebiliyor
  • Sertifikanın verileceği alan adı genellikle server_name ile belirtiliyor
  • server_name içindeki düzenli ifadeler ve wildcard kullanımı önizleme sürümünde desteklenmiyor
  • Modül içindeki $acme_certificate ve $acme_certificate_key değişkenleri üzerinden sertifika ve anahtar otomatik olarak bağlanıyor

Başlıca Avantajlar

• Dünya genelinde HTTPS kullanımındaki hızlı artışın merkezinde ACME protokolü yer alıyor
• Otomatik sertifika yönetimi sayesinde sertifika yaşam döngüsü yönetim maliyeti ve manuel işlemlerden kaynaklanan hatalar belirgin biçimde azalıyor
• Harici araçların kaldırılmasıyla saldırı yüzeyi küçülüyor ve taşınabilirlik sağlanıyor
• Farklı ortamlarda güvenlik standardizasyonunu teşvik ediyor

Gelecek Planları

• TLS-ALPN ve DNS-01 challenge desteği eklenecek
• Kullanıcı geri bildirimlerine göre özellikler genişletilecek
• IoT, API ve edge computing kullanımının artmasıyla ACME’nin gelecekte daha geniş kapsamlı otomatik güvenlik altyapılarında temel bir rol üstlenmesi bekleniyor
• NGINX’in yerel ACME desteği, web güvenliği, otomasyon ve ölçeklenebilirliği geleceğin standardı haline getiren bir temel işlevi görecek

Başlarken

• Açık kaynak kullanıcıları, NGINX Linux packages üzerinden önceden derlenmiş modülü kullanabilir
• NGINX Plus kurumsal müşterilerine F5 destekli dinamik modül olarak sunuluyor
• Modül belgeleri için NGINX Docs sayfasına bakabilirsiniz