TLS, ağ üzerindeki iletişimin şifrelenmesini, bütünlüğünün korunmasını ve sunucunun kimliğinin doğrulanmasını sağlayan protokoldür. İnternetteki güvenli iletişimin temelini oluşturur ve web, e-posta, dosya transferi gibi birçok protokolün altında çalışır. Önceki adı olan SSL bugün kullanımdan kaldırılmıştır ancak terim alışkanlık nedeniyle hâlâ kullanılmaktadır. Güncel sürümler yalnızca TLS adını taşır. Eski sürümler ciddi zafiyetler içerdiği için devre dışı bırakılmalıdır. Yapılandırma denetimi bu maddeyi kapsar.

Protokol üç temel güvence sunar. Birincisi gizliliktir: trafik şifrelenir ve yol üzerindeki taraflar içeriği okuyamaz. İkincisi bütünlüktür: verinin değiştirilmediği doğrulanır. Üçüncüsü kimlik doğrulamadır: sunucunun iddia ettiği kimlik sertifikayla kanıtlanır. İstemci kimliği de doğrulanabilir ama bu isteğe bağlıdır. Üç güvence birlikte çalışır. Biri eksik olduğunda koruma zayıflar.

SSL/TLS Protokolü Nedir?

TLS, iki taraf arasındaki iletişimin şifrelenmesini, bütünlüğünün korunmasını ve sunucu kimliğinin sertifikalarla doğrulanmasını sağlayan taşıma katmanı güvenlik protokolüdür.

Protokol iki aşamada çalışır. İlk aşamada taraflar el sıkışarak kullanılacak algoritmalar üzerinde anlaşır ve oturum anahtarını üretir. TLS el sıkışması bu aşamayı tanımlar. İkinci aşamada ise veri, üretilen anahtarla şifrelenerek taşınır. İlk aşama asimetrik, ikinci aşama simetrik şifreleme kullanır. Bu birleşim hem güvenlik hem performans sağlar.

Sürümler ve Güvenlik

Eski sürümler zaman içinde ciddi zafiyetlerle karşılaşmış ve kullanımdan kaldırılmıştır. Bu sürümlerin devre dışı bırakılması, güvenlik yapılandırmasının temel maddesidir. Birçok ortamda uyumluluk kaygısıyla açık bırakılırlar. Bu tercih, bilinen saldırılara kapı açar. Eski istemci envanteri çıkarılmalıdır. Geçiş planlanır.

Güncel sürüm, önceki sürümlere göre önemli iyileştirmeler getirmiştir. El sıkışma daha hızlı tamamlanır ve zayıf algoritmalar protokolden tamamen çıkarılmıştır. Kaldırılan özellikler geçmiş saldırıların çoğunu ortadan kaldırmıştır. Geçiş önerilir. Uyumluluk kontrol edilir.

Sürüm desteği istemci tarafında da kontrol edilmelidir. Eski işletim sistemleri ve gömülü cihazlar güncel sürümü desteklemeyebilir. Bu cihazlar için ayrı bir değerlendirme gerekir. Telafi edici kontroller uygulanır. Değişim planı hazırlanır. Kalan risk kayda geçirilir.

• Eski protokol sürümlerinin devre dışı bırakılması
• Zayıf şifre takımlarının kaldırılması
• İleri gizlilik sağlayan anahtar değişiminin tercih edilmesi
• Sertifika zincirinin eksiksiz sunulması
• Güvenlik başlıklarıyla şifreli bağlantının zorunlu kılınması
• Yapılandırmanın dönemsel taranması

Sertifikaların Rolü

Sunucu kimliğinin doğrulanması, sertifikalar aracılığıyla yapılır. Sertifika, sunucunun açık anahtarını ve kimlik bilgilerini içerir ve bir otorite tarafından imzalanır. İstemci, bu imzayı güvendiği kök sertifikalarla doğrular. Güven zinciri bu doğrulamayı sağlar. Zincirin eksiksiz sunulması gerekir. Eksik zincir bazı istemcilerde hata üretir.

Sertifika sürelerinin izlenmesi de kritik önemdedir. Süresi dolan bir sertifika, hizmetin erişilemez olmasına yol açar. Bu tür kesintiler sık yaşanır ve kolayca önlenebilir. Otomatik yenileme mekanizmaları bu riski ortadan kaldırır. Otomatik sertifika yönetimi önerilir. İzleme de kurulmalıdır.

Sertifika üretiminin kısıtlanması da bir kontroldür. Kurumun alan adı için yalnızca belirli otoritelerin sertifika üretebilmesi sağlanabilir. Bu kısıtlama, yetkisiz sertifika üretimini zorlaştırır. Ayrıca üretilen sertifikalar izlenmelidir. Beklenmedik sertifikalar uyarı üretir. İnceleme başlatılır.

Yapılandırma Denetimi

Sunucu yapılandırmasının düzenli olarak taranması önerilir. Ücretsiz ve ticari araçlar, desteklenen sürümleri, şifre takımlarını ve sertifika durumunu raporlar. Bu tarama, dış yüzeydeki tüm hizmetleri kapsamalıdır. Yalnızca ana site değil tüm alt alan adları taranır. Kapsam eksikliği sık görülür. Envanter gerekir.

Tarama sonuçları bir temel çizgiyle karşılaştırılmalıdır. Yeni devreye alınan bir hizmet, eski yapılandırmayla gelebilir. Karşılaştırma bu sapmayı yakalar. Düzeltme süreci tanımlanır. Sorumlu atanır. Takip yapılır.

İç hizmetlerin de kapsama alınması önerilir. İç ağdaki şifresiz iletişim, sıfır güven yaklaşımıyla uyumlu değildir. Ayrıca iç ağa erişen bir saldırgan bu trafiği dinleyebilir. Kapsamın genişletilmesi kademeli yapılır. Öncelik kritik sistemlerdedir. Plan hazırlanır.

Şifreli Trafiğin Denetimi

Şifreleme, güvenlik kontrollerinin trafiği görmesini de engeller. Bu nedenle kurumlar şifreli trafiği açarak denetleme ihtiyacı duyar. Bu işlem gizlilik, performans ve uyumluluk etkileri taşır. Kapsam belirlenmeli ve çalışanlar bilgilendirilmelidir. Bazı kategoriler istisna tutulur. Hukuki değerlendirme yapılır.

Bazı uygulamalar sertifika sabitleme kullandığı için açma işlemi çalışmaz. Bu uygulamalar için istisna gerekir ve liste zamanla büyür. Sertifika sabitleme güvenlik açısından olumlu ama denetim açısından zorlayıcıdır. İki ihtiyaç dengelenmelidir. Karar politikaya bağlıdır.

Şifre Takımlarının Seçimi

Protokol, hangi algoritmaların kullanılacağını şifre takımları üzerinden belirler. Bir takım; anahtar değişimi, kimlik doğrulama, şifreleme ve bütünlük algoritmalarını birlikte tanımlar. Sunucu, desteklediği takımları öncelik sırasıyla listeler. Zayıf takımların listeden çıkarılması, güvenlik yapılandırmasının temel maddesidir. Varsayılan listeler genellikle uyumluluk için geniş tutulur. Daraltma gerekir.

Takım seçiminde ileri gizlilik sağlayan yöntemler öncelikli olmalıdır. Bu yöntemler, uzun ömürlü anahtarın ele geçirilmesi durumunda geçmiş oturumları korur. Ayrıca kimlik doğrulamalı şifreleme modları tercih edilir. Bu modlar, şifreleme ve bütünlüğü birlikte sağlar. Şifreleme modları arasındaki fark önemlidir. Eski modlar zafiyet içerir.

Yapılandırmanın test edilmesi de gereklidir. Tarama araçları, desteklenen takımları listeler ve zayıf olanları işaretler. Bu tarama düzenli tekrarlanmalıdır. Yeni zafiyetler ortaya çıktıkça öneriler değişir. Yapılandırma güncellenir. Süreç tanımlanır.

Yaygın Yapılandırma Hataları

İlk hata, eski protokol sürümlerinin açık bırakılmasıdır. Uyumluluk kaygısıyla verilen bu taviz, bilinen saldırılara kapı açar. Eski istemci envanteri çıkarılarak gerçek ihtiyaç ölçülmelidir. Çoğu ortamda bu ihtiyaç sanıldığından azdır. Ölçüm karar üretir. Kapatma planlanır.

İkinci hata, sertifika zincirinin eksik sunulmasıdır. Ara sertifikaların sunulmaması, bazı istemcilerde doğrulama hatasına yol açar. Bu hata sunucu tarafında kolayca düzeltilir. Tarama araçları bu eksikliği raporlar. Kontrol edilmelidir. Düzeltme basittir.

Üçüncü hata, şifreli bağlantının zorunlu kılınmamasıdır. Şifresiz erişimin açık bırakılması, düşürme saldırılarına imkân verir. HSTS başlığı bu riski ortadan kaldırır. Yapılandırma tek satırdır. Etkisi kalıcıdır.

Sertifika Doğrulamasının Katılığı

Doğrulama başarısız olduğunda bağlantının kurulmaması esastır. Kullanıcıya uyarı gösterip devam etme seçeneği sunmak, korumayı kullanıcı kararına indirger. Tarayıcılar bu uyarıları giderek zorlaştırmaktadır. Uygulamalarda ise doğrulamanın kod içinde devre dışı bırakılması yaygın bir hatadır. Bu hata, tüm bağlantıları savunmasız bırakır. Kod incelemesinde aranmalıdır.

Geliştirme ortamlarındaki kendinden imzalı sertifikalar bu hatanın kaynağıdır. Kolaylık olsun diye kapatılan doğrulama, üretime taşınır. Doğru yaklaşım, test ortamında da geçerli sertifika kullanmaktır. İç sertifika otoritesi bu ihtiyacı karşılar. Kurulum bir kereye mahsustur. Alışkanlık değişir.

Otomatik denetimler bu hatayı yakalayabilir. Statik analiz araçları, doğrulamayı devre dışı bırakan kod kalıplarını tespit eder. Bu kontrol, geliştirme hattına eklenmelidir. Statik uygulama güvenlik testi bu denetimi sağlar. Erken tespit maliyeti düşürür. Uygulama kolaydır.

Kurumsal Sertifika Altyapısı

İç hizmetler için kurumsal bir sertifika otoritesi kurulması yaygın bir uygulamadır. Bu otorite, iç sunuculara sertifika üretir ve kök sertifikası tüm cihazlara dağıtılır. Böylece iç trafiğin de şifrelenmesi mümkün olur. Kurulum planlı yapılmalıdır. Kök anahtarın korunması kritiktir. Donanım modülü önerilir.

Otoritenin ele geçirilmesi ciddi bir olaydır. Saldırgan, istediği alan adı için geçerli sertifika üretebilir. Bu nedenle otorite sunucusu ayrı bir segmentte ve sıkı korunmalıdır. Ara otoriteler kullanılarak kök çevrimdışı tutulabilir. Bu tasarım standarttır. Uygulaması önerilir.

Sertifika yaşam döngüsünün otomatikleştirilmesi de gereklidir. Elle yönetilen sertifikalar süresi dolarak kesinti üretir. Anahtar yaşam döngüsü yönetimi bu süreci kapsar. Otomasyon kesintileri ortadan kaldırır. Yatırım karşılığını verir.

Privia Security olarak dışa açık hizmetlerin şifreleme yapılandırmasını düzenli zafiyet tarama hizmeti kapsamında sürekli izliyoruz.