Mikroservisler Arası Güvenli İletişim Rehberi

Kurumsal yazılım mimarilerinde monolitik yapılardan mikroservis tabanlı sistemlere geçiş, servisler arası iletişimin güvenliğini kritik bir hale getirmiştir. Çok sayıda bağımsız servisin birbiriyle ağ üzerinden haberleşmesi, doğru tasarlanmadığı takdirde ciddi güvenlik açıklarına kapı aralayabilir. Bu teknik rehberde, mikroservis güvenliği standartlarını sağlamak amacıyla API Gateway, JWT ve iç ağ doğrulama mekanizmalarının nasıl kurgulanacağını ele alıyoruz.

1. API Gateway Konumlandırması ve Giriş Kapısı Güvenliği

Mikroservis mimarisinde dış dünya ile iç servisler arasındaki ilk temas noktası API Gateway bileşenidir. Tüm istemci istekleri doğrudan servisler yerine önce bu geçit noktasına yönlendirilmelidir:

• Merkezi Trafik Kontrolü: Dışarıdan gelen isteklerin tek bir noktada karşılanması, SSL sonlandırma, oran sınırlama (rate limiting) ve IP filtreleme gibi temel güvenlik katmanlarının merkezi olarak uygulanmasını sağlar.
• Servis Gizliliği: İç ağdaki mikroservislerin IP adresleri veya portları doğrudan dış dünyaya açılmaz; böylece doğrudan hedefli saldırı yüzeyi daraltılır.

2. JWT (JSON Web Token) ile Stateless Kimlik Doğrulama

Servisler arası yetkilendirme süreçlerinde durumsuz (stateless) bir yapı kurmak ölçeklenebilirlik açısından elzemdir. Bu noktada JWT devreye girer:

• İmzalı Token Yapısı: Kullanıcı kimlik doğrulaması API Gateway seviyesinde yapıldıktan sonra, kullanıcının rolleri ve yetkileri bir JWT içine kriptografik olarak imzalanarak gömülür.
• Servisler Arası Aktarım: İstemci, sonraki isteklerinde bu tokenı taşır. İstekteki token, Siber Güvenlik standartlarına uygun olarak hedef servis tarafından gizli anahtar (secret key) veya ortak anahtar (public key) ile doğrulanır, böylece merkezi bir veritabanı sorgusuna gerek kalmaz.

3. İç Ağ Doğrulama ve Servisler Arası Mühürleme

Dışarıdan gelen istekler güvenli hale getirilse bile, iç ağdaki (east-west traffic) servislerin birbirine güvenmesi siber güvenlik ilkelerine aykırıdır:

• Karşılıklı TLS (mTLS): İç ağdaki servislerin birbirleriyle yaptığı haberleşme şifrelenmeli ve her iki taraf da sertifika tabanlı kimlik doğrulamasından geçmelidir.
• İç Ağ Doğrulama Katmanı: İstek API Gateway'den geçip iç servislere ulaştığında bile, servisler gelen tokenı ve istek kaynağını doğrulamaya devam etmelidir. Bu katmanlı yaklaşım, iç ağa sızmayı başaran zararlı aktörlerin hareket alanını kısıtlar.

Sonuç

Kurumsal yazılım projelerinde mikroservis güvenliği, tek bir bileşene bırakılamayacak kadar katmanlı bir süreçtir. API Gateway ile çevreyi korumak, JWT ile yetkileri güvenle taşımak ve iç ağ doğrulama mekanizmalarıyla servisler arası güveni sıfır güven (zero trust) prensibiyle yeniden kurmak, sistemin bütünlüğünü korumanın temel yoludur.

4. Varsayımsal Senaryo: E-Ticaret Sisteminde Sipariş ve Ödeme Akışı Güvenliği

Bu teorik senaryoda, yüksek trafikli bir e-ticaret platformunun sipariş servisi ile ödeme servisi arasındaki haberleşme güvenliği ele alınmaktadır. İstemci, sepet onay butonuna bastığında istek öncelikle API Gateway üzerinden karşılanır ve JWT tabanlı kimlik doğrulaması yapılarak iç ağa aktarılır. Sipariş servisi bu isteği alır, kendi veritabanına kaydını düşer ve ödeme servisine HTTP üzerinden bir alt istek gönderir. Bu aşamada en büyük trade-off, performans ile güvenlik arasındaki hassas dengedir. Her servis çağrısında kriptografik imza doğrulaması yapmak CPU maliyetini artırır; ancak bu maliyet, sistemin bütünlüğünü korumak için kaçınılmaz bir zorunluluktur. Failure handling tarafında, ödeme servisinden zaman aşımı (timeout) veya ağ hatası dönmesi durumunda, sipariş servisi işlemi doğrudan sonlandırmak yerine dağıtık transaction mekanizmalarıyla telafi edici (compensating) işlemler tetikler. Ayrıca, ağ paketlerinin dinlenmesi (sniffing) riskine karşı servisler arası tüm bu trafik karşılıklı mTLS ile mühürlenir. Bu kurgu, saldırganların iç ağda ham veri yakalamasını engellerken, olası bir sızma durumunda bile yetkisiz komut çalıştırılmasının önüne geçer.

5. Güvenli Mikroservis İletişimi İçin Detaylı Uygulama Kontrol Listesi

Mikroservis mimarisinde güvenli haberleşme standartlarını eksiksiz uygulamak ve hata payını sıfıra indirmek için aşağıdaki adımları içeren bir kontrol listesi kullanılmalıdır. İlk olarak, API Gateway üzerinde tüm dış girişler için rate limiting ve SSL sonlandırma aktif edilmelidir. İkinci olarak, JWT üretiminde güçlü simetrik veya asimetrik algoritmalar tercih edilmeli, token ömürleri kısa tutulmalı ve servisler arası doğrulama adımları test edilmelidir. Üçüncü olarak, iç ağ trafiğinde mTLS sertifika yönetimi otomatize edilmeli, süresi dolmak üzere olan sertifikalar servis kesintisi yaratmadan yenilenmelidir. Dördüncü adımda, geliştirme ekipleri Siber Güvenlik prensiplerini göz önünde bulundurarak kod incelemeleri yapmalı ve her servisin sadece ihtiyacı olan minimum yetkiyle (principle of least privilege) çalışması sağlanmalıdır. Beşinci ve son aşamada ise, yetkisiz erişim denemeleri ve başarısız token doğrulamaları merkezi bir log sisteminde toplanarak anlık alarmlar üretilmeli, böylece olası güvenlik ihlalleri erken aşamada tespit edilip engellenmelidir.

Kaynaklar

• Siber Güvenlik — Cy Logic Software