İmza Anahtarları

IronFlock, cihazların ve Appliance’ların kurduğu her şeyi imzalar. Her cihaz ve her Appliance, indirdiği şeyi çalıştırmadan veya kullanmadan önce imzayı zaten sahip olduğu anahtarlara göre denetler. Bu sayfada bu imza anahtarları, her birinin neyi imzaladığı ve bir anahtarın, hiçbir cihaz veya Appliance bir sonraki güncellemesini denetleyemez duruma düşmeden nasıl değiştirildiği (rotasyon) yer alır.

Anahtarlar

İki OpenPGP imza anahtarı elle denetlemek için indirilebilir: Appliance anahtarı https://instance-registry.ironflock.com/dl/appliance/appliance-release.asc adresinden (bkz. Yükleyiciyi Kurulumdan Önce Doğrulayın), bootstrap anahtarı https://instance-registry.ironflock.com/dl/device-init/ironflock-bootstrap.asc adresinden (bkz. İsteğe bağlı: önce yükleyiciyi doğrulayın). gpg komutunun bildirdiği parmak izini bu sayfadakiyle karşılaştırın. Cihaz aracısının anahtarları aracının içinde yerleşiktir; elle denetlenecek bir şey yoktur.

Windows’ta cihaz aracısı, indirdiği her güncellemeyi ve her frpc.exe dosyasını kendi içinde yerleşik olan kod imzalama kök sertifikasına göre denetler: dosya, bu kök sertifikanın verdiği bir imzalayıcı sertifikasıyla atılmış geçerli bir imza taşımalıdır. 1.5.6 sürümünden itibaren denetimden geçemeyen bir dosya silinir ve çalıştırılmaz; 1.5.4 ve 1.5.5 sürümleri hatayı yalnızca günlüğe yazıyordu. İmzalayıcı sertifikası, denetimin yapıldığı andaki zamana göre denetlenir; bu nedenle saati sertifikanın geçerlilik süresi dışında kalan bir Windows cihazı, saati doğru olana kadar güncellenmez. Aracı her başlangıçta ayrıca kendi yürütülebilir dosyasını denetler ve günlüğüne, C:\ProgramData\IronFlock\DeviceAgent\device-agent.log dosyasına, codesign: self-check passed veya codesign: self-check FAILED yazar; günlüğe FAILED yazan bir cihaz, çalıştırdığı aracı gibi imzalanmış güncellemeleri reddeder.

Aracının yükleyicisi kod imzalama kök sertifikasını ayrıca bilgisayarın güvenilen kök sertifikalarına ekler. Aracının denetimi için kök sertifikanın orada olması gerekmez; bu nedenle yükleyici bunu yapmadan önce kurulmuş bir cihaz da güncellemelerini aynı şekilde denetler. Bunun bu sayfadaki kök sertifika olduğunu denetlemek için PowerShell’de Get-ChildItem Cert:\LocalMachine\Root | Where-Object Subject -like '*IronFlock Code Signing Root*' | Format-List Subject, Thumbprint, NotAfter komutunu çalıştırın; parmak izi (Thumbprint) 6083E7E2446B8C95A6F6B2E3CFE354AE02859196 olmalıdır. Kök sertifika oradayken Get-AuthenticodeSignature "$env:ProgramData\IronFlock\DeviceAgent\device-agent.exe" | Select-Object Status, @{ n = 'Serial'; e = { $_.SignerCertificate.SerialNumber } } komutu Valid gösterir; Windows seri numarasını başında bir 00 ile, 00D137272B35F0ED5211219674E8B052B4 olarak yazar. 1.5.4 sürümünden önceki cihaz aracıları ve frp 0.71.1 sürümüne kadarki frpc.exe, aynı kök sertifika tarafından verilmiş önceki Windows imzalayıcı sertifikasını taşır; seri numarası 481360741E254378C38A5236940BFFA44CFDD809. Bu sertifikayla artık yeni bir şey imzalanmaz; aracı, imzalarını sertifika Ekim 2028’de sona erene kadar kabul eder.

6 Kasım 2026’dan itibaren yayımlanan her IronFlock platform hizmet görüntüsü, derleme kaynağını imzalı onaylar (attestation) olarak taşır: görüntünün her platformu için bir tane, SLSA v1 provenance biçiminde; kaynak depo, commit, derleme ve görüntünün derlendiği temel görüntüler. Onaylar görüntüyle birlikte kayıt defterinde (registry) saklanır ve herkese açık bir şeffaflık günlüğüne kaydedilmez. Çekebildiğiniz bir görüntüyü denetlemek için aşağıdaki açık anahtarı image-provenance.pub olarak kaydedin, parmak izini tablodakiyle karşılaştırın (birinci komut) ve görüntüyü cosign 3 veya sonrasıyla özetine (digest) göre doğrulayın (ikinci komut):

-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEjyfZEmjD3ErGVqBO5fsNl+aPy+oO
vDGv410tK7HUUZgD+EMbmXYq/qhXuJ0QhjYi/zDEozRRhLT3AnsgIOabrQ==
-----END PUBLIC KEY-----

openssl pkey -pubin -in image-provenance.pub -outform DER | openssl dgst -sha256
cosign verify-attestation --key image-provenance.pub --type slsaprovenance1 --insecure-ignore-tlog <image>@sha256:<digest>

--insecure-ignore-tlog, cosign’a yalnızca bir şeffaflık günlüğü kaydı aramamasını söyler; imza yine de anahtara karşı denetlenir. Her onay, platformunu predicate.buildDefinition.internalParameters.targetPlatform içinde belirtir. Daha önce yayımlanmış bir görüntü imzalı derleme kaynağı taşımaz; bu nedenle bir IronFlock sürümü, hizmetlerinin her biri yeniden yayımlanana kadar bunu taşıyan ve taşımayan görüntüler içerebilir.

Bu derleme kaynağı SLSA Build Level 3 gereksinimlerini karşılar. Her görüntü, barındırılan bir derleme hizmetinin yeni bir makinesinde, diğer tüm derlemelerden ayrı ve diğer derlemelerle paylaşılan bir derleme önbelleği olmadan derlenir. Derleme kaynağı başka bir makinede ayrı bir adımda imzalanır; bu adım derlenen kodun hiçbir parçasını çalıştırmaz ve derleme kaynağının belirttiği kaynak depoyu, commit’i ve derlemeyi denetler; anahtarı yalnızca bu adım kullanabilir. Bir görüntü, aynı sürümün daha önceki bir adımının hazırladığı verileri de içerebilir, örneğin bir arama dizinini; derleme kaynağı böyle bir girdiyi belirtir, içeriğini değil. 5 Kasım 2026’da yayımlanan bazı görüntüler zaten imzalı derleme kaynağı taşır; bu kaynak Level 2’yi karşılar, çünkü anahtar o sırada henüz imzalama adımıyla sınırlı değildi.

Anahtarlar Nasıl Korunur

• Bu sayfadaki anahtarlar, kod imzalama kök sertifikası dışında, dışa aktarılamaz. Özel anahtarları IronFlock’un anahtar yönetiminde tutulur ve imzalama orada gerçekleşir. Kod imzalama kök sertifikası yazılım imzalamaz, yalnızca Windows imzalayıcısının sertifikasını imzalar; anahtarı yalnızca bu sertifika değiştirildiğinde kullanılır.
• Sürümler kendi sürüm boru hatları tarafından imzalanır. Bir ürünün sürümlerini imzalayan anahtarı yalnızca o ürünün otomatik sürüm süreci kullanabilir, o da ancak denetimleri ve testleri geçtikten sonra.
• Cihaz aracısı birbirinden bağımsız iki imza anahtarına güvenir. Yeni sürümler birinciyle imzalanır. İkincisiyle önceki sürümler imzalanmıştır; yalnızca bu anahtara güvenen eski aracılar ile ironflock-init’in eski sürümleri için güncellemeler hâlâ elle bu anahtarla imzalanır. İkincisi ayrıca, birincinin artık kullanılamadığı durum için saklanır; bu durumda güncellemeler ikinciyle imzalanır, böylece cihazlar denetimi atlayan herhangi bir ayar olmadan güncellenmeye devam eder.

Bir Anahtarı Değiştirme

Bir anahtar, planlanan kullanım ömrünün sonuna ulaştığında ya da ele geçirildiğinden şüphelenildiğinde hemen değiştirilir. Bu bölüm yukarıdaki imza anahtarlarıyla ilgilidir; Appliance’ın kendi dahili gizli bilgileri ironflock-update --rotate ile değiştirilir, bkz. Ana Makinedeki Gizli Bilgiler. Bir rotasyon her zaman üç adımda ilerler; böylece her cihaz ve Appliance yol boyunca her güncellemeyi denetleyebilir:

1. Yeni anahtar eklenir. Bir sürüm, yeni anahtarı bir cihazın veya Appliance’ın güvendiği anahtarlara ekler. Bu sürüm hâlâ mevcut anahtarla imzalıdır; bu nedenle ona güncellenen her şey onu kabul eder.
2. İmzalama yeni anahtara geçer. Sahadaki cihazlar ve Appliance’lar her iki anahtara da güvenen bir sürümü çalıştırdığında IronFlock yeni anahtarla imzalamaya başlar. Eski anahtara bu süre boyunca da güvenilmeye devam edilir.
3. Eski anahtar kullanımdan kaldırılır. Daha sonraki bir sürüm eski anahtarı kaldırır. O andan itibaren eski anahtarla atılmış bir imza reddedilir ve anahtar Kullanımdan Kaldırılan Anahtarlar altında listelenir.

Bunun her anahtar için anlamı:

• Appliance sürüm imza anahtarı. Bir Appliance, kendi ironflock-update aracında yer alan anahtarlara güvenir; bu nedenle Appliance, 2. adımda imzalanan güncellemeleri denetleyebilmek için önce 1. adımdaki sürümü kurmalıdır. Örtüşme süresinin tamamı boyunca güncellenmemiş bir Appliance, herhangi bir şey değişmeden önce güncellemesini durdurur; bu durumda yükleyiciyi, Yükleyiciyi Kurulumdan Önce Doğrulayın bölümünde açıklandığı gibi yeni anahtara göre denetleyerek bir kez elle çalıştırın.
• Cihaz aracısı güncelleme imza anahtarları. Bir cihaz, çalıştırdığı aracının içinde yerleşik olan anahtarlara güvenir. Örtüşme süresinin tamamı boyunca çevrimdışı olan bir cihaz, yeni anahtarla imzalanmış güncellemeleri denetleyemez; bu cihazın aracısını, yeni anahtara güvenen cihaz yükleyicisiyle yeniden kurun.
• Bootstrap imza anahtarı. install.sh her kurulum için yeniden indirilir ve denetimde kullandığı anahtarı kendisi taşır; bu nedenle yeni bir anahtar, örtüşme olmadan bir sonraki yükleyici sürümüyle geçerli olur. Yalnızca elle yapılan denetim değişir: bu sayfadaki parmak iziyle karşılaştırın.
• Windows kod imzalama. Bir Windows cihazı imzalayıcıya değil, kod imzalama kök sertifikasına güvenir. Aynı kök sertifika tarafından verilen yeni bir imzalayıcı sertifikası, örtüşme olmadan bir sonraki sürümle geçerli olur ve cihazda hiçbir şey yapılması gerekmez. Aracı imzalayıcı sertifikasını denetimin yapıldığı andaki zamana göre denetlediği için, süresi sona ermiş bir sertifikayla imzalanmış bir dosya reddedilir; bu nedenle bir imzalayıcı sertifikası, sona ermesinden çok önce değiştirilir. Kök sertifikanın kendisi, Temmuz 2036’da sona ermesinden çok önce, yukarıdaki üç adımla değiştirilir; örtüşme süresinin tamamı boyunca çevrimdışı olan bir Windows cihazının aracısının yeniden kurulması gerekir. Bilgisayarın güvenilen kök sertifikaları, yükleyicinin eklediği kök sertifikayı korur; bu nedenle bir kök sertifika rotasyonundan sonra yukarıdaki PowerShell denetimi yalnızca önceki kök sertifikayı gösterebilir. Aracı ise kendi içinde yerleşik olan kök sertifikalara göre denetler.
• Görüntü derleme kaynağı imza anahtarı. Hiçbir cihaz veya Appliance bu anahtarı denetlemez; bu nedenle yeni bir anahtar, örtüşme olmadan bir sonraki görüntü sürümüyle geçerli olur. Bir görüntü, yayımlandığı andaki onayları korur: onu yayımlandığı sırada kullanılan anahtarla denetleyin; bu anahtar bu sayfada veya Kullanımdan Kaldırılan Anahtarlar altında listelenir.

Örtüşme süresince bu sayfa her iki anahtarı parmak izleriyle birlikte listeler ve sürüm notları her adımı duyurur. Güncel tutulan bir Appliance veya cihaz üzerinde hiçbir şey yapılması gerekmez.

Bir anahtar ele geçirilirse, IronFlock onunla imzalamayı hemen durdurur, onu yukarıdaki gibi kısa bir takvimle değiştirir ve bir güvenlik bülteni yayımlar.

Kullanımdan Kaldırılan Anahtarlar

Şimdiye kadar yok.