SSL sertifikası
SSL sertifikası, alan adı üzerindeki kontrolün doğrulanmasıyla düzenlenen ve web sunucusu ile tarayıcı arasında şifreli HTTPS bağlantısı kurulmasını sağlayan dijital sertifikadır. Günümüzde kullanılan protokol TLS (Transport Layer Security) olduğundan teknik olarak TLS sertifikası adını taşır. Sertifikalar, tarayıcıların güvendiği sertifika otoriteleri tarafından düzenlenir.
Teknik yapısı
SSL (Secure Sockets Layer), 1990’ların ortasında Netscape tarafından geliştirilen şifreleme protokolüdür. SSL’in tüm sürümleri güvenlik açıkları nedeniyle kullanımdan kaldırılmış, yerini TLS almıştır; “SSL sertifikası” ifadesi ise yerleşik ad olarak kullanılmaya devam eder. Sertifika, X.509 standardına göre düzenlenen bir veri dosyasıdır ve şu bilgileri içerir:
- Sertifikanın verildiği alan adı veya alan adları
- Sunucunun açık anahtarı (public key); sunucunun özel anahtarı (private key) sertifikada yer almaz ve yalnızca sunucuda saklanır
- Sertifikayı düzenleyen sertifika otoritesinin (Certificate Authority, CA) adı ve dijital imzası
- Geçerlilik başlangıç ve bitiş tarihleri (
notBeforevenotAfteralanları)
İnternette kullanılan X.509 v3 sertifika profili ve sertifika zincirinin doğrulanma yöntemi, Mayıs 2008’de yayımlanan RFC 5280 belgesinde tanımlanır.
Tarayıcı, bağlantı sırasında sertifikanın güvenilir bir otoriteye zincirlenip zincirlenmediğini, süresinin dolup dolmadığını ve ziyaret edilen alan adıyla eşleşip eşleşmediğini denetler. Bu koşullardan biri sağlanmadığında kullanıcıya bağlantının güvenli olmadığını bildiren tam sayfa uyarı gösterilir.
Doğrulama düzeyleri
Sertifikalar, düzenlenmeden önce yapılan doğrulamanın kapsamına göre üç düzeyde sınıflandırılır:
- Alan adı doğrulamalı (Domain Validation, DV): Yalnızca başvuranın alan adını kontrol ettiği doğrulanır. Otomatik süreçlerle dakikalar içinde düzenlenir.
- Kuruluş doğrulamalı (Organization Validation, OV): Alan adı kontrolüne ek olarak başvuran kuruluşun yasal varlığı doğrulanır.
- Genişletilmiş doğrulama (Extended Validation, EV): Kuruluşun kimliği daha kapsamlı belgelerle doğrulanır.
Şifreleme gücü üç düzeyde de aynıdır; fark, sertifikada yer alan kimlik bilgisinin doğrulanma derecesindedir. Kapsam bakımından tek alan adı, birden fazla alan adı (SAN/multi-domain) ve belirtilen düzeydeki alt alan adlarını kapsayan joker (wildcard) sertifikalar bulunur. Örneğin *.ornek.com, www.ornek.com adresini kapsar; ornek.com ve a.b.ornek.com için ayrıca uygun sertifika adları gerekir.
Edinme ve yenileme
Let’s Encrypt, Aralık 2015’ten bu yana ücretsiz DV sertifikaları sunan, ACME protokolüyle otomatik düzenleme ve yenileme sağlayan sertifika otoritesidir. Alan adının kontrolü, DNS’e bir doğrulama kaydı eklenerek veya alan adının belirli bir HTTP adresinde doğrulama dosyası sunularak kanıtlanır. Sertifikanın edinilmesinin ardından HTTPS hizmetinin çalışması için sunucunun TLS yapılandırmasının da yapılması gerekir. Barındırma hizmetlerinin ve içerik dağıtım ağlarının (CDN) çoğu sertifikayı otomatik olarak kurar ve yeniler. Sertifika geçerlilik süreleri sektör kararlarıyla kısaltılmaktadır; bu nedenle elle yenileme yerine otomatik yenileme süreçleri esas alınır. Süresi dolan bir sertifika, sitenin tarayıcılarda uyarı ekranıyla açılmasına yol açar ve ziyaretçi erişimini fiilen durdurur.
Ölçüm ve araçlar
Sertifikanın düzenleyicisi, kapsadığı alan adları ve bitiş tarihi tarayıcının adres çubuğundaki bağlantı bilgisi bölümünden görüntülenir. Qualys SSL Labs Server Test, sertifika zincirini ve sunucu yapılandırmasını notlandırır. Sertifika şeffaflığı (Certificate Transparency, CT) günlüklerini tarayan crt.sh gibi araçlar, bir alan adı için bu günlüklere kaydedilmiş sertifikaların incelenmesini sağlar.