SSL/TLS (Güvenli Soket Katmanı / Aktarım Katmanı Güvenliği)

SSL/TLS nedir?

SSL (Secure Sockets Layer) ve TLS (Transport Layer Security), ağlar üzerinden iletişimi güvenceye alan kriptografik protokollerdir. TLS, SSL'nin modern halefidir, ancak "SSL" her ikisini ifade etmek için yaygın olarak kullanılmaya devam eder. Bu protokoller HTTPS'yi etkinleştirerek tarayıcılar ile sunucular arasındaki verileri şifreler.

SSL ve TLS: kısa tarihçe

Modern sistemler yalnızca TLS 1.2 veya TLS 1.3 kullanmalıdır.

TLS nasıl çalışır?

TLS el sıkışması

1. İstemci Hello: Tarayıcı desteklenen TLS sürümlerini ve şifre paketlerini gönderir

2. Sunucu Hello: Sunucu TLS sürümünü ve şifre paketini seçer

3. Sertifika: Sunucu SSL sertifikasını gönderir

4. Anahtar değişimi: Güvenli anahtar değişimi gerçekleştirilir (şifre paketine göre değişir)

5. Tamamlandı: Şifreli oturum oluşturulur

Client                          Server
  |-- Client Hello -------------->|
  |<-- Server Hello --------------|
  |<-- Certificate ---------------|
  |<-- Key Exchange --------------|
  |-- Key Exchange -------------->|
  |-- Finished ------------------>|
  |<-- Finished ------------------|
  |<======= Encrypted Session ===>|

TLS 1.3 bunu tek gidiş-dönüşe indirerek performansı artırır.

SSL/TLS sertifikaları

Sertifikada neler bulunur?

• Subject: Sertifikanın kapsadığı alan adı veya adları
• Issuer: Sertifikayı veren Sertifika Otoritesi (CA)
• Validity Period: Başlangıç ve sona erme tarihleri
• Public Key: Şifreli bağlantılar kurmak için kullanılan açık anahtar
• Signature: CA'nın kriptografik imzası

Sertifika türleri

• Dakikalar içinde verilir
• Ücretsiz (Let's Encrypt) veya düşük maliyetlidir
• Kilit simgesini gösterir, kuruluş bilgisi göstermez

• İşletme doğrulaması gerektirir
• Sertifika ayrıntılarında kuruluş adını gösterir
• Daha yüksek güven, orta düzey maliyet sunar

• Titiz kimlik doğrulaması gerektirir
• Önceden yeşil çubuk gösterirdi (tarayıcılar bunu kaldırdı)
• En yüksek maliyet ve güven düzeyine sahiptir

Sertifika kapsamı

SSL/TLS uygulaması

Let's Encrypt ile ücretsiz sertifikalar

# Using Certbot
sudo certbot --nginx -d example.com -d www.example.com

# Auto-renewal
sudo certbot renew --dry-run

Bulut sağlayıcı sertifikaları

Çoğu bulut platformu ücretsiz ve otomatik yenilenen sertifikalar sunar:

• Cloudflare: Proxy arkasındaki alan adları için otomatik
• AWS: Certificate Manager (ACM)
• Google Cloud: Yönetilen SSL sertifikaları

Sertifika doğrulaması

Tarayıcılar sertifikaları şu şekilde doğrular:

1. Sertifika zincirini güvenilir bir kök CA'ya kadar kontrol eder

2. Sertifikanın süresinin dolmadığını doğrular

3. Alan adıyla eşleştiğini teyit eder

4. İptal durumunu kontrol eder (CRL/OCSP)

SSL/TLS için en iyi uygulamalar

Sunucu yapılandırması

ssl_protocols TLSv1.2 TLSv1.3;

ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;

Sertifika yönetimi

• Yenilemeyi otomatikleştirin: Sertifikaların süresi dolar (Let's Encrypt için 90 gün)
• Süre sonunu izleyin: Sertifikalar sona ermeden önce uyarılar ayarlayın
• CAA kayıtlarını kullanın: Hangi CA'ların sertifika verebileceğini kısıtlayın

SSL/TLS kontrolü

curl "https://domscan.net/v1/health?domain=example.com"
# Returns SSL validity, issuer, expiration

openssl s_client -connect example.com:443 -servername example.com

Yaygın SSL sorunları

SSL/TLS artık isteğe bağlı değildir. Güvenlik ve SEO yararları için tüm web siteleri HTTPS kullanmalıdır.