SSL Sertifikası Nedir, Ne İşe Yarar?

SSL Sertifikalarının pek çok faydasına ve kullanımına geçmeden önce, temel teknolojiyi anlamak yardımcı olabilir. Bu makale, Güvenli Yuva Katmanının (SSL) nasıl Aktarım Katmanı Güvenliğine (TLS) dönüştüğünü ve bunların hem Genel İnternet hem de Kurumsal İnternet bağlantıları için nasıl güvenlik sağladıklarını açıklamayı amaçlar.

SSL Sertifikası Nedir?

 SSL, bir ağ üzerinden iletişimlerin kimliğini doğrulamak ve şifrelemek için kullanılan şifreleme protokolünün orijinal adıdır. Resmi olarak SSL, bir süre önce TLS adlı güncellenmiş bir protokolle değiştirildi.

SSL’den TLS’ye Zaman Çizelgesi

Aşağıda, SSL’nin zaman içinde nasıl değiştiğine dair bir zaman çizelgesi verilmiştir:

SSL, 90’lı yıllarda Netscape tarafından internet üzerinden iletişimleri şifrelemek ve güvence altına almak için geliştirilmiş bir güvenlik protokolüdür. SSL v1.0, güvenlik sorunları nedeniyle hiçbir zaman yayınlanmadı.

1995’te Netscape, SSL v2.0’ı yayınladı, ancak yine de birçok kusuru vardı.

1996’da piyasaya sürülen SSL v3.0, SSL v2.0’ın sorunlarını giderdi. Bu sürüm inanılmaz iyileştirmeler sundu ve internetin çalışma şeklini sonsuza dek değiştirdi. Ancak, 2015 itibariyle, SSL 3.0 ve önceki sürümler kullanımdan kaldırılmıştır.

TLS, İnternet Mühendisliği Görev Gücü (IETF) tarafından SSL üzerinde bir iyileştirme olarak geliştirilmiştir; 1999’da piyasaya sürülen ve SSL v3.0’a dayanan TLS v1.0, SSL v3.0 ve TLS v1.0’ın birlikte çalışmayacağı kadar önemli olan küçük güvenlik iyileştirmeleri ile birlikte kullanıma sunulmuştur.

TLS v1.1 yedi yıl sonra 2006’da çıktı ve kısa bir süre sonra 2008’de TLS v1.2 ile değiştirildi. Bu, birçok web sitesi TLS v1.0’dan doğrudan TLS v1.2’ye yükseltildiğinden TLS v1.1’in benimsenmesine zarar verdi. 11 yıl sonra şimdi TLS v1.3’teyiz.

TLS v1.3, 2018’de ve yaklaşık 30 IETF taslağının ardından sonuçlandırıldı. TLS v1.3, öncekilere göre önemli iyileştirmeler alarak kullanıma sunulmuştur. Microsoft, Apple, Google, Mozilla, Cloudflare ve Cisco, Mart 2020 itibarıyla TLS v1.0 ve TLS v1.1’i kullanımdan kaldırmıştır. TLS v1.2 ve TLS v1.3, şu anda hala kullanılabilen tek SSL protokolleridir. Bu nedenle, gerçekte TLS, SSL’nin daha yeni bir sürümüdür.  Ancak çoğu insan hala TLS yerine SSL diyor. SSL ve TLS, iletim sırasında hassas bilgileri koruyarak aynı amaca hizmet eder, ancak kaputun altında, kriptografi orijinal SSL’den en son TLS v1.3’e çok değişti. 

Dijital sertifikalar, SSL protokolünün özüdür; sunucular (örneğin web siteleri, intranetler veya VPN) ve istemciler (örneğin web tarayıcıları, uygulamalar veya e-posta istemcileri) arasındaki güvenli bağlantıları başlatırlar. SSL sertifikaları, kimlik avına ve iletimlerin gizlice dinlenmesine ve web sitesi etki alanı gibi bir sunucunun otomatik kimlik doğrulamasına karşı yeterli koruma sağlar. Bir web sitesi, kullanıcıların hassas bilgilerini isterse, iletim sırasında şifrelemek için bir SSL sertifikasına sahip olması gerekir. SSL sertifikası yoksa, bu bağlantıya herhangi bir özel bilgi ile güvenilmemelidir.

Nasıl Çalışır?

SSL’nin birincil amacı, sunucu ve istemci olmak üzere iki uç nokta arasında güvenli bir aktarım katmanı bağlantısı sağlamaktır. Bu bağlantı tipik olarak bir web sitesi sunucusu ile istemcinin tarayıcısı veya bir posta sunucusu ile istemcinin Outlook gibi e-posta uygulaması arasındadır.

SSL iki ayrı protokol içerir:

El Sıkışma protokolü, sunucunun (ve isteğe bağlı olarak istemcinin) kimliğini doğrular, kripto paketleriyle görüşür ve paylaşılan anahtarı oluşturur.

Kayıt protokolü, her bağlantıyı yalıtır ve oturumun geri kalanında iletişimin güvenliğini sağlamak için paylaşılan anahtarı kullanır.

El Sıkışma Protokolü

SSL anlaşması, sunucu ve istemcinin iletişim kurması için güvenli bir kanal oluşturmaya yönelik  asimetrik bir şifreleme  işlemidir – HTTPS  bağlantıları her zaman SSL anlaşmasıyla başlar. Başarılı bir el sıkışma, müşterinin tarayıcısının veya uygulamasının arkasında anında ve otomatik olarak gerçekleşir – istemci kullanıcı deneyimini bozmadan. Ancak, başarısız bir el sıkışma, genellikle istemcinin tarayıcısında bir uyarı mesajından önce gelen bağlantının sonlandırılmasını tetikler.

SSL’nin geçerli ve doğru olması koşuluyla, el sıkışma aşağıdaki güvenlik avantajlarını sunar:

Kimlik Doğrulama: Sunucu, bağlantı geçerli olduğu sürece her zaman doğrulanır.

Gizlilik: SSL aracılığıyla gönderilen veriler şifrelenir ve yalnızca sunucu ve istemci tarafından görülebilir.

Bütünlük: Dijital Sertifika İmzaları, aktarım sırasında verilerin değiştirilmemesini sağlar.

Özetle, SSL sertifikaları temelde internet üzerinden iletişim için asimetrik kriptografi ve simetrik kriptografinin bir karışımını kullanarak çalışır. Ortak Anahtar Altyapıları olarak bilinen, işletmelerde SSL iletişiminin sağlanmasında yer alan başka altyapılar da vardır.

SSL Sertifikaları Nasıl Çalışır?

SSL sertifikasını aldığınızda sunucunuza yüklersiniz. CA’nızın kök sertifikasına zincirleyerek SSL sertifikanızın güvenilirliğini belirleyen bir Ara sertifika yükleyebilirsiniz.

Kök sertifikalar kendinden imzalıdır ve X.509 tabanlı Açık Anahtar Altyapısının (PKI) temelini oluşturur. Güvenli web tarama ve elektronik imza şemaları için HTTPS’yi destekleyen PKI, kök sertifikalara bağlıdır. X.509 sertifikalarının diğer uygulamalarında, bir sertifika hiyerarşisi, bir sertifikanın veriliş geçerliliğini onaylar. Bu hiyerarşiye ” Güven Zinciri ” sertifikası denir.

Güven Zinciri

Güven Zinciri, SSL sertifikanıza ve bunun güvenilir bir sertifika yetkilisine olan bağlantısına atıfta bulunur. Bir SSL sertifikasının güvenilir olması için, güvenilir bir kök CA’ya kadar izlenmesi gerekir. Bir Güven Zinciri, ilgili tüm taraflar için gizlilik, güven ve güvenlik sağlar.

Her PKI’nin merkezinde kök CA bulunur; tüm sistem için güvenilir bütünlük kaynağı olarak hizmet eder. Kök sertifika yetkilisi bir SSL sertifikası imzalayarak Güven Zincirini başlatır. Kök CA’ya genel olarak güveniliyorsa, ona zincirlenmiş geçerli herhangi bir CA sertifikasına tüm büyük internet tarayıcıları ve işletim sistemleri tarafından güvenilir.

Güven Zinciri Nasıl Doğrulanır?

İstemci veya tarayıcı, bir avuç güvenilir CA’nın Genel Anahtarlarını doğal olarak bilir ve sunucunun SSL sertifikasını doğrulamak için bu anahtarları kullanır. İstemci, doğrulama işlemini Güven Zincirindeki her bir sertifika ile tekrar başlangıca, yani kök CA’ya kadar izleyene kadar yineler.

SSL Sertifikası Ne İşe Yarar?

Güvenli olmayan HTTP bağlantılarında, bilgisayar korsanları istemci ve sunucu arasındaki iletileri kolayca yakalayabilir ve bunları düz metin olarak okuyabilir. Şifreli bağlantılar, istemci diğer oturum anahtarıyla şifresini çözene kadar iletişimi karıştırır. Bir web sunucusuna kurulduğunda, SSL sertifikaları, HTTPS protokolünü başlatmak ve kullanıcılar ile istemcilerin bağlanması için güvenli bağlantıları etkinleştirmek için bir genel/özel anahtar çifti sistemi kullanır.

İnternet için: SSL Sertifikaları Web Siteleri İçin Ne Yapar?

İmzalı bir SSL sertifikası bir web sitesinin güvenliğini sağladığında, kuruluşun kimliğini güvenilir üçüncü tarafla doğruladığını ve doğruladığını kanıtlar; tarayıcı CA’ya güvendiğinden, tarayıcı artık bu kuruluşun kimliğine de güveniyor. Web sitesinde SSL kurulu olup olmadığını kontrol etmenin en kolay yolu tarayıcınıza bakmaktır; web sitesi URL’sinin “HTTPS:” ile başlayıp başlamadığına bakın, çünkü bu, sunucuda bir SSL sertifikasının kurulu olup olmadığını gösterir. Öyleyse, sertifika bilgilerini görüntülemek için adres çubuğundaki asma kilit simgesine tıklayın. Web tarayıcıları, varsayılan olarak 80 numaralı TCP bağlantı noktasını dinleyen web sunucularına bağlanmak için Köprü Metni Aktarım Protokolü’nü (HTTP) kullanır. HTTP, düz metin bir protokoldür; bu, bir bilgisayar korsanının geçiş verilerini ele geçirmesinin ve okumasının nispeten kolay olduğu anlamına gelir. Gizlilik gerektiren herhangi bir uygulama için yeterli değildir.

SSL, tarayıcı ve sunucu arasında değiş tokuş edilen verileri şifreleyen ve kullanıcının kimliğini doğrulayan 443 numaralı bağlantı noktasını kullanır. Bu nedenle, web tarayıcısı ile sunucu arasındaki iletişimin güvenli olması gerektiğinde, tarayıcı otomatik olarak SSL’ye geçer. Tabi sunucuda bir SSL sertifikası yüklü olduğu sürece.

Güvenilir bir CA tarafından imzalanmış bir sertifikaya sahip bir sunucu ile bağlantı kurmak, kullanıcı için ek zorluklar olmadan gerçekleşir. Bir internet kullanıcısı SSL güvenli bir web sitesini ziyaret ettiğinde, iletişim bilgilerini göndermeye veya kredi kartıyla alışveriş yapmaya daha isteklidir. Ayrıca, web sitenizde bir SSL sertifikasına sahip olmak, sıralamadaki konumunuzu yükselterek kullanıcıların ve müşterilerin sitenizi bulmasını kolaylaştırır.

SSL sertifikası, bir web sitesinin güvenilirliğini kanıtlar, ancak daha gelişmiş sertifikalarla tüm şirket SSL sertifikalı olabilir.

İntranetler için: SSL Sertifikaları Kurumsal Ortamdaki Uygulamalar İçin Ne İşe Yarar?

SSL’nin asıl amacı World Wide Web olmasına rağmen, işletmeler çok çeşitli dahili ve harici bağlantıları güvence altına almak için SSL sertifikaları kullanır. Enterprise SSL sertifikalarının en yaygın kullanım durumları şunları içerir:

1. Ağ Erişim kontrolleri
2. Sanal Özel Ağlar (VPN)
3. Tek seferlik
4. Nesnelerin İnterneti (IoT)

Düzgün yapılandırılırsa, tüm bu uygulamalar SSL protokolünün üzerinde çalışır. Aşağıdaki bölümde bu örneklere daha yakından bakacağız:

Ağ Girişi

Kablosuz cihazları şirket ağına bağlayan çalışanlar, erişim kolaylığına ihtiyaç duyarken, aynı zamanda ağın şirket kaynaklarına yetkisiz erişimi engellemesi gerekir. Çalışanlar, cihazlarından, kurumsal sunucularından ve hatta onaylı bireyler için bulut sunucularından dosyalara erişmek ve bunları şifrelemek için SSL sertifikalarını kullanabilir.

Her 90 günde bir değişen uzun, hatırlaması zor şifreleri dijital bir kimlikle değiştirerek hatırlama/sıfırlama ihtiyacından kaçının. Windows veya Mac masaüstüne, sunucuya veya WiFi erişim noktalarına dijital bir kimlik yerleştirin, böylece yalnızca yetkili cihazlar kurumsal ağınıza bağlanabilir.

Tek Seferlik

Günümüzün kurumsal çalışanları, çok çeşitli Kimlik hizmetine veya federasyon ürünlerine erişebilir. Kuruluşlar, kurumsal portaldaki veya bulut hizmetlerindeki tüm kaynaklarına erişmek için genellikle bir Web Tek Oturum Açma ürünü kullanır.

Nesnelerin İnterneti

Yalnızca güvenilir IoT cihazlarının ağınıza bağlanabilmesini sağlamak için IoT cihazınıza ve kullanıcının cihazına veya uygulamasına dijital bir kimlik yüklenebilir. IoT cihazı, yetkili uygulamalardan talimat alır veya veri gönderir ve kullanıcılar dijital bir kimliğe sahiptir.

SSL VPN

Güvenli Yuva Katmanı Sanal Özel Ağı (SSL VPN), Güvenli Yuva Katmanı (SSL) kullanılarak oluşturulan sanal bir özel ağdır (VPN) BT departmanları hem çözümü hem de gerekli altyapı hizmetlerini ölçekleyebilir. SSL VPN, kurumsal web uygulamalarına yönetilen uygulama erişimi üzerinde ayrıntılı kontrol sağlar. SSL VPN’nin belki de en önemli faydaları, tüm dijital sertifikalara uzaktan erişilmesini sağlayarak BT kaynaklarını serbest bırakmanın kazanılan verimlilik ve üretkenliğinden gelir.

Kod, Belge ve E-posta İmzalama

Güvenli Yuva Katmanı Sanal Özel Ağı (SSL VPN), Güvenli Yuva Katmanı (SSL) kullanılarak oluşturulan sanal bir özel ağdır (VPN) BT departmanları hem çözümü hem de gerekli altyapı hizmetlerini ölçekleyebilir. SSL VPN, kurumsal web uygulamalarına yönetilen uygulama erişimi üzerinde ayrıntılı kontrol sağlar. SSL VPN’nin belki de en önemli faydaları, tüm dijital sertifikalara uzaktan erişilmesini sağlayarak BT kaynaklarını serbest bırakmanın kazanılan verimlilik ve üretkenliğinden gelir.

Pek çok kişi kod, belge ve e-posta imzalama sertifikalarının SSL sertifikaları olmadığının farkında değil. Hepsi PKI x.509 sertifikalarıyla kolaylaştırılmış olsa da, anahtar kullanım işlevi tüm farkı yaratır. Konuyla ilgili daha fazla bilgi edinmek için “Kod İmzalama ile SSL sertifikası arasındaki fark” veya “Dijital sertifika ile Dijital İmza Arasındaki Fark” bölümünü okuyun.