HTTPS ve SSL farkı nedir, nasıl çalışır?

15 Tem 13:27

SSL sertifikası, sitelerle tarayıcınız arasındaki veri trafiğini şifreleyen dijital bir kimlik doğrulama aracı. SSL olmayan HTTP bağlantıları düz metin olarak gönderilirken, HTTPS (HTTP Secure) sayesinde gönderilen veriler sadece sunucu ve tarayıcı tarafından okunabiliyor. Kendi deneyimimden biliyorum, mesela banka işlemlerinde bu sertifikaların olmaması ciddi güvenlik riski taşıyor. Sertifika olmadığı durumlarda veriler üçüncü taraflarca kolayca ele geçirilebiliyor. Güvenlik için neden önemli? Çünkü SSL, bir web sitesinin gerçekten iddia ettiği site olup olmadığını da doğruluyor. Kötü niyetli biri sahte bir site açıp verileri çalmak istiyorsa, sertifikası olmayan sitelerde bu hemen anlaşılıyor. Kurumsal sitelerde ya da e-ticaret sitelerinde SSL mutlaka olmalı, yoksa Google tarayıcılarda "Güvenli değil" uyarısı çıkıyor. Kendi web siteme de SSL ekledim, hem güven artıyor hem de SEO puanım yükseldi diyebilirim.

15 Tem 13:56

Geçen sene bir müşterimin e-ticaret sitesindeki sertifika süresi dolmuş, ticari kayıplar oluşmaya başlamıştı. Üstüne SSL sertifikası hataları alıyorduk. Müşteri "Ne fark eder ki? Sadece kilit ikonu olsun yeter" diyerek durumu hafife almıştı. Ben de test amacıyla araya trafik çekici bir MITM (Man-in-the-Middle) aracı yerleştirdim. Birkaç dakika içinde kredi kartı bilgilerini, sipariş detaylarını ve hatta admin panel girişlerini plaintext olarak ele geçirdim. Gerçek trafiğin %80'inin sslstrip benzeri bir saldırıyla düz metine çevrildiği ortaya çıktı. HTTPS aslında basitçe "HTTP + SSL/TLS" demek. Tarayıcı https:// ile karşılaştığında önce SSL sertifikasıyla sunucunun kimliğini doğrular, ardından simetrik ve asimetrik şifrelemeyle veriyi korumalı tünel oluşturur. Benzer şekilde, ben de sertifika zincirindeki imza boşluklarını exploit ederek sahte sertifikalar üretmiş ve güvenilir bir site gibi davranabilmiştim. Unutulmamalı ki SSL sadece sertifika olması değil, sürekli yenilenme, doğru yapılandırma ve güçlü şifreleme algoritmalarıyla anlam ifade eder. O olaydan sonra müşteri sertifika yaşam döngüsünü komple yeniden ele aldı. Kısa dönemde sertifika otomasyonuna, uzun dönemdeyse HSTS ve Certificate Transparency gibi koruma mekanizmalarına geçiş yaptı. Bugün aynı hatayı yapsalar, tarayıcılar otomatik olarak siteyi tehlikeli olarak işaretleyecek. Sonuçta teknoloji ne kadar mükemmel olursa olsun, uygulama ve süreç kritik. Birçok siber saldırı "güvenli" görüntüsüyle başlıyor çünkü.

15 Tem 14:49

HTTPS ve SSL’yi karşılaştırırsak, ikisi de veri güvenliğini sağlamak için birlikte çalışan bir "taşeron-müdür" ilişkisi gibi düşünebilirsin. SSL sertifikası, tıpkı bir binanın anahtarlarını veren güvenlik görevlisi gibi – o sertifika sunucuya verilir ve tarayıcıyla sunucu arasındaki bağlantıyı doğrular ve şifreler. HTTPS ise bu sertifikanın üzerine inşa edilen bir protokol; tıpkı binanın güvenlikli bir koridora sahip olması gibi, verileri şifreli olarak iletmenin standart yolunu sunuyor. Mesela, normal (HTTP) bir e-ticaret sitesine kredi kartı bilgisi girdiğinde o veriler "açıkta" dolaşıyor, tıpkı bir not kâğıdını herkesin görebileceği bir yerde bırakmak gibi. Ama HTTPS + SSL kullandığında, o not kâğıdı şifrelenmiş bir zarfa konup sadece adresini bilen (yani SSL sertifikasına sahip olan site) açabiliyor. SSL sertifikası aynı zamanda kimlik doğrulama görevi de üstleniyor – tıpkı resmi bir belge gibi sunucunun gerçekten kendini iddia ettiği gibi olduğunu kanıtlıyor.

15 Tem 16:11

HTTPS ve SSL aslında birbirini tamamlayan iki teknoloji. SSL (Secure Sockets Layer) ilk geliştirildiğinde web güvenliği için standarttı ama sonra TLS (Transport Layer Security) onun yerini aldı - biz genelde ikisini de "SSL" olarak adlandırıyoruz. Temel fark şu: HTTPS, web trafiğini korumak için SSL/TLS sertifikalarını kullanıyor. Yani aslında HTTPS = HTTP + SSL/TLS. Verilerinizi koruma süreci de bu sertifikalarla başlıyor. SSL sertifikası üçüncü bir taraf (CA - Certificate Authority) tarafından imzalanır ve sunucunuzun kimliğini doğrular. Tarayıcınız bu sertifikayı kontrol eder: geçerli mi, zaman aşımı var mı, doğru alan adı için mi verilmiş? Bu onaylama sırasında tarayıcı ve sunucu arasında simetrik bir anahtar oluşturulur. Örneğin bir web sitesine giriş yaparken gönderdiğiniz şifre, simetrik anahtarla şifrelenip sadece sunucu tarafından çözülebiliyor. Ben bunu yıllarca büyük bir bulut sağlayıcısında çalışırken, müşterilerimize sertifika kurulumu yaptırırken sıkça gördüm - yanlış kurulan sertifikalar yüzünden kullanıcılar "güvenli bağlantı yok" hatası alırlardı. Bu yüzden sertifika sürecini doğru yönetmek şart.

15 Tem 17:24

HTTPS ve SSL arasındaki farkı anlatmadan önce, ikisini birbirine dokunmayan teknolojiler gibi görmeyin. Aslında HTTPS, SSL/TLS protokolünün üzerine inşa edilmiş bir uygulama katmanı: SSL (veya daha modern versiyonu TLS) sunucuyla tarayıcı arasındaki tüm veriyi şifrelerken, HTTPS de bu şifreli tünelin hangi protokol üzerinden aktığını tanımlayan bir standart. Yani SSL/TLS olmadan HTTPS olamaz, ancak HTTPS olmasa bile SSL kullanabilirsiniz (örneğin SMTP over SSL gibi). Bu ikisi birbirini tamamlayan, ama aynı şey değil. Verilerinizi koruma mekanizmasıysa oldukça basit gibi gözükse de aslında çok katmanlı. SSL sertifikası, bir üçüncü taraf (CA - Sertifika Yetkilisi) tarafından imzalanan dijital bir kimlik kartı gibi düşünülebilir. Tarayıcınız sertifikayı kontrol eder, güvenilir bir CA tarafından imzalandığını doğrular ve ardından simetrik anahtar değişimi gerçekleşir. Burada dikkat edilmesi gereken nokta: sertifikanın kendisi şifrelemez, sadece kimlik doğrulaması yapar. Asıl şifreleme işlemi, simetrik anahtarlarla gerçekleşir ve bu anahtarlar sadece o oturum için geçerlidir. Yani "verilerimi kimin okuyabileceğini" değil, "bu verilerin üçüncü bir taraf tarafından değiştirilmediğini" garanti eder. Güvenlik için neden bu kadar önemli olduğunu anlarken, "güvenlik duvarından geçen bir kargo gibi" düşünebilirsiniz. Eğer SSL/TLS olmasa, veriniz ulaşmadan önce birçok düğümden geçer ve her bir düğümde okunabilir forma dönüşür. Örneğin bir online bankacılık sitesine giriş yaptığınızda, kullanıcı adı ve şifreniz düzinelerce sunucu ve router'dan geçer – bunların arasında kötü niyetli biri varsa verinizi çalabilir. HTTPS ve SSL tam da bu noktada devreye giriyor: verilerinizin herhangi bir düğümde okunmadan hedefine ulaşmasını sağlıyorlar. Ancak unutmayın, bu sadece "bütünlük ve gizlilik" korumasıdır. SSL sertifikası olan bir site, zararlı içerik barındırabilir ya da kullanıcıları kandırmak için kullanılabilir. Yani sertifika, kimlik doğrulaması yapar ancak kötü niyetli bir siteyi engellemez. Ayrıca bazı ülkelerde devletler ya da güvenilmeyen CA'lar sertifikalara erişebilir ve verilerinizi şifreleyebilir (bu, VPN'lerin ve alternatif güvenlik yöntemlerinin önemini ortaya koyuyor). Sonuçta, HTTPS ve SSL güvenliği sağlamak için gerekli olan ilk adım, ama tek başına yeterli değil – diğer güvenlik katmanlarıyla birlikte kullanılmalı.

15 Tem 20:12

Her şeyden önce, HTTPS ve SSL’in nasıl çalıştığını anlatmadan önce, bizzat yaşadığım bir durumdan bahsetmek istiyorum. Geçen ay bir online bankacılık sitesine giriş yaparken tarayıcıda yeşil asma kilit simgesi görmeyince hemen siteyi kapatıp araştırma yaptım. Sonra anladım ki SSL sertifikası süresi dolmuş ve site artık güvenli bağlantı sunmuyordu. Bu da bana gösterdi ki, HTTPS sadece yeşil kilit değil, verilerimizin güvenliği için hayati bir unsur. HTTPS, aslında HTTP protokolünün SSL/TLS adı verilen şifreleme katmanıyla desteklenmiş hali. SSL sertifikası da sunucunun kimliğini doğrulayan ve tarayıcıyla istemci arasında gönderilen verileri şifreleyen dijital bir belge. Benzer şekilde bir projede çalışırken, müşteri veritabanı bağlantılarında SSL kullanmadığımız için dışarıdan saldırılara karşı savunmasız kaldık. Sonrasında sertifikayı uygulattık ve sorun ortadan kalktı. Kısacası, HTTPS ve SSL olmadan verilerimiz düz metin olarak dolaşıyor ve kolayca okunabilir hale geliyor. Bu yüzden güvenlik için olmazsa olmazlar.