Hızlı cevap: TLS/SSL yapılandırma sertleştirme, bir sunucunun şifreli bağlantısını güçlü ve güncel bir yapılandırmaya getirmektir. Eski protokol sürümlerini (SSLv3, TLS 1.0, TLS 1.1) kapatmak, zayıf cipher'ları devre dışı bırakmak, güçlü anahtar değişimi (ECDHE) ve ileri gizlilik (forward secrecy) sağlamak, HSTS ile şifreli bağlantıyı zorunlu kılmak ve sertifikayı doğru yönetmek bu işin temelidir. Mozilla SSL Config Generator ve SSL Labs testi, yapılandırmayı doğrulamak için ortak referanslardır.

TLS yapılandırması neden önemli?

Bir sitenin HTTPS kullanması tek başına yeterli değildir. Önemli olan, TLS'in nasıl yapılandırıldığıdır. Eski protokol sürümleri ve zayıf cipher'lar açık bırakıldığında, şifreli görünen bir bağlantı aslında kırılabilir ya da düşürülebilir hale gelir. Doğru yapılandırma, bağlantının gerçekten güvenli olmasını sağlar.

Burada denge önemlidir: en katı yapılandırma eski istemcileri dışarıda bırakabilir. Bu yüzden Mozilla, farklı uyumluluk seviyeleri için (modern, ara, eski) hazır yapılandırma profilleri sunar. Kurum, desteklemesi gereken istemcilere göre doğru profili seçmelidir.

Sertleştirme bileşenleri

Bileşen Önlem
Protokol sürümü SSLv3, TLS 1.0, TLS 1.1 kapat; TLS 1.2 ve 1.3 aç
Cipher suite Zayıf cipher'ları kapat, güçlü AEAD cipher'lara öncelik ver
Anahtar değişimi ECDHE ile ileri gizlilik (forward secrecy)
HSTS Şifreli bağlantıyı zorunlu kıl, downgrade'i engelle
Sertifika Güçlü anahtar, geçerli zincir, zamanında yenileme
OCSP ve zincir Sertifika durumu doğrulama, tam zincir sunma

İleri gizlilik (forward secrecy) neden kritik?

İleri gizlilik, her bağlantı için geçici bir oturum anahtarı kullanır. Böylece sunucunun özel anahtarı ileride ele geçirilse bile, geçmişte kaydedilmiş şifreli trafik geriye dönük olarak çözülemez. Bu, özellikle "önce kaydet, sonra çöz" tehdidine karşı önemlidir ve ECDHE anahtar değişimiyle sağlanır. Modern TLS yapılandırmasının vazgeçilmez bir parçasıdır.

KAOS ve DSET yaklaşımı

DSET, sunucu ve uygulama denetimlerinde TLS yapılandırmasını güçlü referanslara (Mozilla profilleri, NIST SP 800-52) karşı değerlendirir ve zayıf protokol, cipher ve sertifika sorunlarını raporlar. Geliştirdiğimiz KAOS güvenlik motoru, kaynak kod ve altyapı taramasında zayıf ya da eskimiş TLS yapılandırmalarını tespit eder. Kuantuma dayanıklı geçiş planlamasında da TLS katmanı önceliklidir. Amacımız HTTPS'in görünürde değil gerçekte güvenli olduğunu doğrulamaktır.

Bağlantılı okumalar: web sunucu sertleştirme Nginx Apache, kuantum sonrası kriptografi PQC, şifreleme ve kriptografi temelleri, Linux sunucu sıkılaştırma CIS, mTLS çift taraflı TLS API güvenliği, e-posta güvenliği SPF DKIM DMARC.

Sık sorulan sorular

HTTPS kullanıyorum, TLS yapılandırması yine de önemli mi? Evet, çok önemli. HTTPS kullanmak sadece başlangıçtır; asıl güvenlik TLS'in nasıl yapılandırıldığındadır. Eski protokol sürümleri (TLS 1.0 gibi) ve zayıf cipher'lar açık kalırsa, şifreli görünen bağlantı kırılabilir ya da daha zayıf bir sürüme düşürülebilir. SSL Labs testi, yapılandırmanızın gerçek gücünü gösterir.

TLS 1.0 ve 1.1'i kapatmak sorun çıkarır mı? Modern istemcilerin hepsi TLS 1.2 ve 1.3 destekler, bu yüzden çoğu ortamda eski sürümleri kapatmak sorunsuzdur. Yalnızca çok eski cihaz ya da uygulamaların bağlandığı özel durumlarda uyumluluk kontrol edilmelidir. Mozilla'nın ara profili, güvenlik ile uyumluluk arasında dengeli bir seçenek sunar.

İleri gizlilik (forward secrecy) nedir? İleri gizlilik, her bağlantının geçici bir oturum anahtarıyla şifrelenmesini sağlar. Böylece sunucunun uzun ömürlü özel anahtarı ileride ele geçirilse bile, geçmişte kaydedilmiş trafik çözülemez. ECDHE anahtar değişimiyle sağlanır ve modern TLS yapılandırmasının temel bir parçasıdır.

Kaynaklar

Sunucularınızın TLS yapılandırmasını güçlü referanslara karşı denetlemek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.