TLS / SSL nedir?
TLS (Transport Layer Security) ve selefi SSL (Secure Sockets Layer), istemci ile sunucu arasındaki iletişimi şifreleyen, kimliği doğrulayan ve verinin yolda değiştirilmediğini garanti eden protokollerdir. Bir sitede tarayıcıdaki kilit simgesi ve https adresi TLS ile sağlanır.
Bugün “SSL sertifikası” denilen ürün aslında TLS’te kullanılır. SSL’in tüm sürümleri güvensiz kabul edildiği için güncel sistemlerde yalnızca TLS’in yeni sürümleri tercih edilmelidir.
Nasıl çalışır?
Bağlantı kurulurken “el sıkışma” (handshake) gerçekleşir. İstemci desteklediği sürüm ve şifre takımlarını bildirir; sunucu bir sertifika sunar. İstemci sertifikanın güvenilir bir otorite tarafından imzalandığını ve alan adıyla eşleştiğini doğrular. Ardından taraflar oturum için ortak bir anahtar üzerinde anlaşır ve sonraki trafik bu anahtarla şifrelenir.
Sertifika, sunucunun açık anahtarını ve kimlik bilgisini bir sertifika otoritesinin imzasıyla bağlar. Böylece sahte bir sunucunun araya girmesi zorlaşır.
Sunucu ve hosting ortamında
Web sunucusunda (Apache, Nginx, LiteSpeed) sertifika ve özel anahtar tanımlanır, 443 portu dinlenir. cPanel, Plesk ve DirectAdmin bu sertifikaları otomatik edinme ve yenileme özellikleri sunar. E-posta (SMTP, IMAP) ve veritabanı bağlantıları da TLS ile korunabilir.
Önemli yapılandırma kararları şunlardır: eski protokol sürümlerinin kapatılması, güçlü şifre takımlarının seçilmesi, sertifika zincirinin eksiksiz sunulması ve HTTP isteklerinin HTTPS’e yönlendirilmesi. Bu ayarlar zaman içinde değiştiği için güncel önerilere bakmak gerekir.
Nasıl uygulanır?
- Sitenizin tüm sayfalarını HTTPS üzerinden sunun ve HTTP’yi yönlendirin
- SSL 3.0 ve eski TLS sürümlerini devre dışı bırakın, yeni sürümleri etkin tutun
- Sertifika zincirini (ara sertifikalar dahil) eksiksiz yükleyin
- Sertifika süresini izleyin ve otomatik yenileme kurun
- Özel anahtarı koruyun ve sertifika kaybında yeniden anahtarlamayı düşünün
- Yapılandırmanızı bir TLS test aracıyla düzenli kontrol edin
Sık yapılan hatalar
- Sertifika süresinin dolmasına izin vermek
- Karışık içerik (HTTPS sayfada HTTP kaynak) bırakmak
- Eksik ara sertifika yüzünden bazı cihazlarda hata oluşmasına neden olmak
- Eski protokolleri uyumluluk adına açık bırakmak
Sık sorulan sorular
TLS ile SSL arasındaki fark nedir?
SSL daha eski ve artık güvensiz kabul edilen protokoldür; TLS onun geliştirilmiş halefidir. Günlük dilde hâlâ “SSL” denmesine rağmen kullanılan teknoloji TLS’tir.
SSL sertifikası ne işe yarar?
Sitenizin kimliğini kanıtlar ve ziyaretçi ile sunucu arasındaki veriyi şifreler. Böylece parola ve form verileri yolda dinlenemez ve değiştirilemez.
HTTPS siteyi tamamen güvenli yapar mı?
Hayır. HTTPS yalnızca iletişimi korur. Sitedeki yazılım açıklarını, zayıf parolaları veya zararlı içeriği ortadan kaldırmaz.
İlgili terimler
- WAF (Web uygulama güvenlik duvarı)HTTP trafiğini inceleyip web saldırılarını engelleyen güvenlik katmanı.
- Yama (patch)Bir açığı kapatan yazılım düzeltmesi.
- Zafiyet yönetimi (vulnerability management)Sistemlerdeki güvenlik açıklarının sürekli biçimde bulunması, önceliklendirilmesi, giderilmesi ve doğrulanması döngüsü.
- Açık taraması (vulnerability scan)Sistemlerde bilinen açıkları otomatik arayan tarama.
- Adli bilişim (digital forensics)Dijital delillerin bozulmadan toplanması, korunması ve analiz edilerek bir olayın nasıl gerçekleştiğinin ortaya çıkarılması.
- Ağ bölümleme (network segmentation)Ağı birbirinden yalıtılmış bölgelere ayırarak bir ihlalin yayılmasını ve saldırı yüzeyini sınırlama yaklaşımı.