Turnkey, Yapay Zekâ Ajanlarının Kimlik Bilgilerine Erişimi İçin Managed Secrets’ı Kullanıma Sunuyor

Turnkey, enklav tabanlı cüzdan altyapısını uygulamaların ve yapay zekâ ajanlarının çalışmak için ihtiyaç duyduğu API anahtarlarını, parolaları, ödeme bilgilerini ve kurtarma verilerini de kapsayacak şekilde genişleterek Managed Secrets’ı kullanıma sundu. Şirketin 29 Ekim tarihli duyurusu, özel anahtar yönetiminin ötesine geçerek daha kapsamlı bir soruna odaklanıyor: yazılımlara, yeniden kullanılabilir kimlik bilgilerini altyapının dört bir yanına dağıtmadan işlem yapma yetkisi vermek.

Ürün, ekiplerin hangi hizmetin bir kimlik bilgisine erişebileceğine ve bu isteğin insan onayı ya da birden çok tarafın onayını gerektirip gerektirmediğine karar vermesini sağlıyor. Finansal uygulamalarda bu, bir borsa API anahtarının yetkili bir alım satım arka ucuna verilmesi, ancak yapay zekâ asistanının konuşma ve yürütme ortamından uzak tutulması anlamına gelebilir.

Kimlik Bilgilerine Erişimi Enklav Sınırının Gerisine Taşımak

Ortam değişkenlerinde veya yapılandırma dosyalarında saklanan kimlik bilgileri yazılımların kullanımı açısından pratiktir; ancak bunları okuyan süreç ele geçirilirse içerikleri açığa çıkabilir. Bir kasa, depolamayı ve erişim denetimlerini merkezileştirebilir. Geriye, kimlik bilgisinin nerede okunabilir hâle geldiği ve bu noktada hangi sistemlere güvenilmesi gerektiği sorusu kalır.

Managed Secrets, yetkilendirme denetimlerini Turnkey’in güvenli enklavlarının içine yerleştiriyor. İstemci, bir sırrı içe aktarmadan önce şifreliyor; ardından enklav bu sırrı depolama için yeniden şifreliyor. Bir istek geldiğinde enklav, sonucu hedeflenen alıcının anahtarıyla şifrelemeden önce ilgili politikaları ve onayları değerlendiriyor. İsteği yapan ve alan taraflar farklı hizmetler olabilir.

Bu ayrım önemlidir. Bir uygulama, kimlik bilgisinin şifresini çözme yeteneğini edinmeden işi başlatabilir ve onayları toplayabilir. Onay veren kişinin imzası, bilginin paylaşılmasına izin verir; paylaşılan sırra erişim hakkını kendiliğinden vermez.

İçe ve Dışa Aktarmanın Temelindeki Kriptografi

Turnkey’in güvenli kanal belgeleri, Hibrit Açık Anahtar Şifrelemesi (HPKE) tabanlı bir protokolü açıklıyor. Bu protokol, hassas verilerin aracı sistemlerden şifreli metin olarak geçebilmesi için açık anahtar anlaşmasını kimliği doğrulanmış şifrelemeyle birleştiriyor. İstemci, içe aktarma sırasında enklav tarafından imzalanmış anahtar materyalini doğrularken dışa aktarma sırasında şifreleme, imzalı istekte belirtilen bir açık anahtarla yapılıyor.

Alıcı anahtarlarının tek kullanımlık olması amaçlanıyor. Turnkey, bu kurala uymaları gerektiğini istemcilere hatırlatıyor: protokol, hatalı bir istemcinin hedef anahtarını yeniden kullanmasını önleyemiyor. Bu nedenle enklavın yanı sıra istemci uygulaması da güvenlik modelinin bir parçası.

Managed Secrets ürün sayfası, depolama sırasında her sır için AES-256-GCM şifrelemesi kullanıldığını belirtiyor. API, hem tekil kimlik bilgilerini hem de birden fazla sır için yapılan istekleri destekliyor. İstenen sırlardan herhangi biri için yetki yoksa toplu dışa aktarma işlemi bütünüyle başarısız oluyor; böylece kısmen onaylanmış bir paketin paylaşılması önleniyor.

Alıcının Hâlâ Önemli Olmasının Nedeni

“Ajanlar kimlik bilgilerini görmeden kullanabilir” ifadesi, her alıcı sürecin açık metni okuyamayacağına dair bir garanti değil, bir entegrasyon biçimini tanımlar. Turnkey’in geliştirici belgeleri, açık metnin enklavın içinde ve sırrı içe ya da dışa aktaran istemcide bulunabileceğini açıkça belirtiyor.

Alıcı anahtarını ayrı bir yürütme hizmeti tutuyorsa bu hizmet, kimlik bilgisinin modelden uzak kalmasını sağlayarak şifresini çözebilir ve onu kullanabilir. Anahtarı ajanın kendi çalışma zamanı tutuyorsa şifre çözme işlemini bu çalışma zamanı yapabilir. Bu nedenle alıcının kendisini, belleğini ve günlük kayıtlarını korumak da önemini korur.

İkinci bir sınır daha vardır: Politikalar, ödeme sayfası alan adı gibi istek bağlamı bilgilerini inceleyebilir; ancak Turnkey, bu iddianın doğru olup olmadığını bağımsız olarak doğrulamaz. İmzalı bir iddia, bunu kimin öne sürdüğünü ortaya koyar. Uygulamaların, bu beyanı gerçek işlemle ilişkilendiren güvenilir denetimler uygulaması yine de gerekir.

İş Akışıyla Birlikte Gelişebilen Onaylar

Ekipler doğrudan erişime izin verebilir, bir kişinin isteği onaylamasını şart koşabilir ya da birden fazla ajan rolünün mutabakatını isteyebilir. Temel sır yeniden içe aktarılmadan politikalar değiştirilebilir; böylece bir iş akışı sıkı gözetim altında başlayıp daha sonra belirli istekleri otomatikleştirebilir.

Turnkey’in programlanabilir erişim kılavuzu, bir tarayıcı ajanı ile bir ödeme ajanının isteği birlikte imzaladığı bir örnek sunuyor. Şifresi çözülebilir kart bilgilerini yalnızca ödeme ajanı alıyor. Tarayıcı bileşeni, onay vermeden önce önerilen alan adının kullandığı sayfayla eşleştiğini denetliyor. Örnek, iki onay saymaktan ziyade bağımsız rollerin ve doğrulamanın neden önemli olduğunu gösteriyor.

Ajan rolleri, kapsamı sınırlandırılmış ve süresi dolan oturum kimlik bilgileri kullanabilir; bu da operatörlerin çalışan tek bir örneğin erişimini iptal etmesine olanak tanır. Ancak gelecekteki erişimi iptal etmek, alıcının şifresini önceden çözdüğü bir sırrı ortadan kaldıramaz. Kimlik bilgilerinin sonraki aşamalarda yenilenmesi ayrı bir operasyonel denetim olarak kalır.

Cüzdan Altyapısından Finansal Otomasyona

Turnkey’in mevcut güvenlik mimarisi, AWS Nitro Enclaves’ı kullanır ve donanım yalıtımını yeniden üretilebilir derlemelerle ve uzaktan doğrulamayla bir araya getirir. Yeniden üretilebilirlik, yazılım derlemelerinin karşılaştırılmasını sağlarken uzaktan doğrulama, enclave içinde çalışan kod hakkında kanıt sunar. Managed Secrets, bu temeli blokzincir imzalama anahtarlarının ötesindeki kimlik bilgilerine taşır.

Şirket, alım satım firmalarını, fintech arka uçlarını, yapay zekâ ajanı geliştiricilerini ve MPC saklama hizmeti sağlayıcılarını hedef kullanıcılar olarak tanımlıyor. Borsa kimlik bilgileri ve OAuth belirteçleri, hizmetlere kesintisiz erişimi desteklerken anahtar payı yedekleri ve kurtarma anahtarları dayanıklılık ihtiyacını karşılıyor. Aynı depolama altyapısını kullansalar bile bunlar, onay ve alıcı gereksinimleri farklı olan ayrı kullanım alanlarıdır.

Finansal teknoloji ekipleri açısından bunun önemi, bir eylemi talep etme, erişimi yetkilendirme ve kullanılabilir bir kimlik bilgisi alma aşamalarının daha açık biçimde birbirinden ayrılmasıdır. Managed Secrets, bu ayrım için gerekli altyapıyı sağlar. Ortaya çıkan koruma; kapsamı dar politikalara, güvenilir onaylayıcılara ve sırrı nihayetinde kullanan, iyi korunan bir hizmete bağlıdır.