Excel'de Şifre Tutmaya Son: Docker Üzerinde Açık Kaynaklı Vaultwarden (Bitwarden) ile Kurumsal Parola Kasası Mimarisi

Bir şirkette Bilgi İşlem odasına girdiğinizde görebileceğiniz en korkunç manzaralardan biri şudur: Ortak bir ağ paylaşımında duran ve üzerinde "Sirket_Tum_Sifreler.xlsx" yazan bir Excel dosyası! Sunucu şifreleri, banka girişleri, e-devlet şifreleri ve switch parolaları bu dosyada düz metin olarak tutulur. Dosyanın şifresi ya şirketin kuruluş yılıdır ya da hiç şifresi yoktur. Bu ilkel ve tehlikeli alışkanlığı tarihe gömen çözüm: Şirket içi sunucularımızda barındırdığımız açık kaynaklı Vaultwarden (Bitwarden Server) parola kasasıdır.

1. Neden Vaultwarden? (Sıfır Bilgi / Zero-Knowledge Kriptografi)

Vaultwarden, Rust diliyle sıfırdan yazılmış ultra hafif ve açık kaynaklı bir Bitwarden sunucusudur:

• Zero-Knowledge Mimarisi: Parolalar sunucuya gönderilmeden önce kullanıcının kendi tarayıcısında/telefonunda AES-256 bit anahtarla şifrelenir. Sunucunun veritabanını çalan bir saldırgan dahi elinde şifrelenmiş anlamsız bloklardan başka hiçbir şey bulamaz!
• Resmi İstemci Desteği: Resmi Bitwarden Chrome/Edge eklentileri, iOS/Android uygulamaları ve masaüstü yazılımlarıyla %100 uyumludur.
• Sıfır Lisans Maliyeti: Kurumsal organizasyon paylaşımları tamamen ücretsizdir.

2. Docker Compose ile Güvenli Kurulum (HTTPS Zorunlu)

Bitwarden istemcileri güvenlik gereği HTTPS olmayan hiçbir sunucuyla konuşmaz. Nginx Reverse Proxy ve SSL sertifikası arkasında çalışan docker-compose.yml:

version: '3'

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden-prod
    restart: always
    environment:
      - WEBSOCKET_ENABLED=true   # Canlı senkronizasyon için
      - SIGNUPS_ALLOWED=false    # Dışarıdan yabancıların üye olmasını engelle!
      - INVITATIONS_ALLOWED=true # Yalnızca yöneticinin davet ettiği personeller girebilir
      - ADMIN_TOKEN=GucluAdminTokenBuraya!2023
    volumes:
      - /opt/vaultwarden/data:/data
    ports:
      - "127.0.0.1:8080:80"
      - "127.0.0.1:3012:3012"

3. Kurumsal Organizasyonlar ve Departman Kasaları (Collections)

Kullanıcıların kendi kişisel şifreleri ayrıdır; departman şifreleri ise Collections (Koleksiyonlar) ile yönetilir:

• Muhasebe_Kasasi: Yalnızca muhasebe ekibi görür.
• IT_Altyapi_Kasasi: Yalnızca sistem mühendisleri görür.
• Bir personel departmandan ayrıldığında organizasyondan çıkarılır; tüm paylaşılan şifrelere erişimi saniyesinde kesilir!

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• Veritabanı Yedeğinin Alınması: /opt/vaultwarden/data klasöründeki db.sqlite3 veritabanı her gece otomatik olarak şifreli olarak yedeklenmeli ve offsite depoya aktarılmalıdır. Kasa çökerse şirketin tüm şifreleri kaybolur!
• Master Password'ün Unutulması: Kullanıcı ana şifresini (Master Password) unutursa sistemi tasarlayan mühendis dahi şifreyi geri getiremez (Zero-Knowledge gereği). Çözüm: Kurumsal organizasyonlarda "Emergency Access (Acil Durum Erişimi)" ve hesap kurtarma yöneticileri önceden tanımlanmalıdır.

Mühendis Notu

Vaultwarden'ı devreye aldığımız gün tüm şirket personelinin tarayıcısına Bitwarden eklentisini GPO ile otomatik kurduk. Artık kimse şifre hatırlamak zorunda değil; tarayıcı şifreyi otomatik dolduruyor ve her site için 20 karakterlik rastgele ultra güçlü şifreler üretiyor. Kurumsal güvenliğimiz tek bir hamleyle çağ atladı.