TLS (Transport Layer Security) Nedir?

TLS (Transport Layer Security – Aktarım Katmanı Güvenliği), güvenli istemci-sunucu bağlantıları için şifreli bir kanal oluşturur. Böylece iletim sırasında veri korumasını sağlar.

TLS Nedir?

Web Güvenliğinde TLS (Transport Layer Security) Nedir?

TLS, gizliliği ve veri bütünlüğünü koruyan tarayıcı trafiğini güvence altına almak için HTTPS’yi kullanır. Ayrıca, iletişim sırasında verileri koruyarak gezinmeyi güvenli hale getirir.

TLS, bütünlüğü sağlamak için verileri şifreleyerek göndericiyi veya alıcıyı doğrular. Bir asma kilit göründüğünde, tarayıcı web sitesiyle TLS bağlantısı kurar. Ek olarak, bu asma kilit güvenli gezinme ortamını sembolize eder.

TLS, bilgi alışverişi sırasında trafiği saldırılardan koruyan güvenli ortam oluşturur. Dolayısıyla bu, veri koruma ve gizliliğini sağlar. RFC 2246, TLS 1.0’ı, RFC 5246, 1.2’yi & RFC 8846, 1.3’ü tanımlar.

Sunucu, PKI ile kimliği garanti ederken, istemci bilgisayarlarda kimlik doğrulaması yoktur. Bu nedenle, bu güvenlik riskleri oluşturabilir. Ancak, istemci tarafı dışında bir şey karşılıklı kimlik doğrulaması gerçekleştirir.

Protokol, casusluğu durdurur. Mesajları istemciler ile sunucular arasında güvende tutar. Ayrıca, gönderenin kimliğini değiştirmez ayrıca izinsiz kullanımı engeller. Ayrıca, iletişim kurmanın güvenli & güvenilir bir yolunu oluşturur.

SSL/TLS Çalışma Aşamaları

SSL/TLS’nin üç ana aşaması vardır: Negotiation (Anlaşma), Authentication (Kimlik Doğrulama) & Keys (Anahtarlar) & Secure Transmission (Güvenli İletim).

Negotiation, istemciler & sunucular arasında paylaşılan bilgileri koruyan kriptografik kodlara karar verir. Ayrıca her iki ucun da güvenli ya da özel olarak iletişim kurabilmesini sağlar.

Açık anahtarlı şifreleme, RSA, Diffie-Hellman & DSA’yı (Digital Signature Algorithm – Dijital İmza Algoritması) kullanır. Ancak simetrik şifreleme, RC2, RC4 ve AES gibi çeşitli algoritmalara dayanır. Bu algoritmalar, şifreleme ve şifre çözme için aynı gizli anahtarı kullanarak verileri güvence altına alır. Hash işlevleri MD5 veya SHA kullanır.

Kimlik Doğrulama & Anahtarlar aşamasında, dijital sertifikalar uç noktaları kontrol eder. Ek olarak, anlaşma yapısı, güvenli iletişim sağlamak için şifreleme anahtarlarını değiştirir.

Güvenli iletim aşaması başlar. Daha sonra uç noktalar arasında şifreli bilgi trafiği gönderir. Bu aşamada, veriler istemci & sunucu arasında dolaşırken korunur.

TLS Özellikleri

TLS’nin dört ana özelliği vardır:

Cryptographic Security (Kriptografik Güvenlik)

Negotiation, kullanıcılarla bilgisayarlar arasında gönderildiğinde bilgileri güvende tutan gizli kodlara karar vermek gibidir. Ayrıca, iki uç arasındaki iletişimin güvenli olmasını sağlar.

Kriptografi maliyetlidir, dolayısıyla oturumları kaydederseniz yeniden başlamanız gerekmez. Ayrıca, bu şekilde ortak anahtarlı şifreleme kullanılır.

Interoperability (Birlikte çalışabilirlik)

TLS, farklı aygıtların ya da yazılımların birbirleriyle iletişim kurmasını sağlayarak etkileşim kurmalarını kolaylaştırır. Ayrıca TLS, bu cihazlar veya yazılımlar arasında sorunsuz veri alışverişine yardımcı olur.

Extensibility (Genişletilebilirlik)

TLS, yeni kriptografik algoritmalar sunarak güvenlik talepleri konusunda güncel kalır. Ayrıca, sağlam koruma sağlamak için daha fazla özellik ekleyerek yeteneklerini geliştirir.

Efficiency (Verimlilik)

TLS verimli çalıştığı için iletişiminizi yavaşlatmaz. Gecikmeleri azaltarak istemciler ile server’lar arasında sorunsuz ayrıca duyarlı etkileşimler sağlar.

Sonuç olarak, TLS çalışmasını iki kısma ayırır.

1. TLS Kayıt Protokolü

Kayıt işlemi, en düşük seviyeler için TCP gibi güvenilir bir taşıma katmanı üzerinde çalışır. Private ve Reliable olmak üzere iki temel özelliği ile bağlantı güvenliği sağlar. Ayrıca TLS, iletişim sırasında veri gizliliğini ve bütünlüğünü sağlar.

Sistem, verileri şifrelemek için özel bir bağlantıda simetrik şifreleme algoritmaları kullanır. Böylece her bağlantı için anahtarlar üretir. Başka bir protokol, anahtarlar için özel bir anlaşma yapısı kurar. Ayrıca, şifreleme olmadan da kullanabilirsiniz.

Güvenilir bir bağlantı, mesaj iletimi için bir bütünlük kontrolüne sahiptir.

2. TLS El Sıkışma Protokolü

El sıkışma işlemi, arayan kimlik doğrulaması için isteğe bağlı olabilen açık anahtarlı şifreleme kullanır. Ancak, tipik olarak, arayanlardan en az biri onu kullanmayı seçer. Sonuç olarak, paylaşılan özel anlaşma trafiği güvenli olmaya devam eder.

TLS Kullanım Alanları

Şu anda çeşitli güvenlik protokolleri kullanılmaktadır. Ayrıca uygulamalar, artık kullanılmayan protokollerin güvenli sürümlerini kullanır. Ayrıca, bu uygulamalar sistem güvenliğini önemli ölçüde artırır.

Sunucuyla istemci cihazlarda kullanılan HTTP, NNTP, LDAP, IMAP ve POP gibi protokollerin belirli sürümleri vardır.

Örneğin SSL/TLS üzerinden HTTP protokolünün tanımı HTTPS’dir. HTTPS protokolü, uç noktaların kimliğini doğrulamak için ortak anahtar sertifikaları kullanır. E-ticaret veya online eğitim gibi uygulamalarda kullanılan WWW sayfalarının güvenliğini sağlar.

Visa, MasterCard, American Express ayrıca önde gelen bankaların çoğu çevrimiçi iş hizmetlerinde SSL kullanır. Ayrıca SSL/TLS, SMTP ayrıca SSH protokolleriyle güvenli bir bağlantı sağlar.

Güvenli SSL/TLS üzerinden güvenli aktarımda kullanılan POP3 ve IMAP4 sürümleri POP3S ve IMAPS’dir. Ek olarak SSL, tıpkı OpenVPN gibi bütün bir ağı bağlayabilir ve sanal bir özel ağ (VPN) oluşturabilir.

OpenSSL, topluluk tarafından ücretsiz olarak geliştirilen ve indirilen popüler bir açık kaynaklı uygulamadır. Ayrıca, güvenli iletişim ve şifreleme protokollerinin sağlanması hayati önem taşımaktadır.

OpenSSL, güvenlik araçları ve şifreleme kitaplıkları ile SSL/TLS uygulamasını destekler. Ek olarak, OpenSSH ve web tarayıcılarının güvenliğini artırır.

TLS’yi Ne İçin Kullanıyorlar?

Bu şifreleme protokolünün asıl görevi e-posta trafiğini korumaktır. Bununla birlikte, kullanıcılar bunu WWW protokolü ile web bağlantılarını ve SSL ile birlikte HTTP/HTTPS ile web sayfalarını güvenli bir şekilde korumada yaygın olarak kullanır.

Bilgisayarlar veya sunucular üzerindeki uygulamalar arasında veri aktarımını güvence altına alır. Bilgi alışverişine ihtiyaç duyulduğunda, uygulama geliştiricileri kullanımı belirler.

TLS Nasıl Çalışır?

Tarayıcı, X web sitesine HTTPS kullanarak bağlanır. Bu nedenle, sunucusu istemciye şifrelenmiş bir sertifika (genel anahtar) gönderir.

Tarayıcı sertifikayı doğrular ve bir oturum anahtarı oluşturur. Ardından, sunucu simetrik anahtarın şifresini çözer ve şifrelenmiş verileri istemciye gönderir.

Tarayıcı, verilerin şifresini simetrik bir oturum anahtarıyla çözerek okunabilir hale getirir. Böylece Aktarım Katmanı Güvenliği protokolü, veri aktarımını korur ve saldırganların bilgileri ele geçirmesini engeller.

Transport Layer Security Avantajları

Bu protokol, gönderici veya alıcı arasındaki web veri akışı trafiğini daha güvenli hale getirir. Web ve 3. taraf yazılım veri trafiğini güvence altına alır. Ayrıca, kullanıcı bilgisayar işletim sistemlerinin korunmasını sağlar.

Transport Layer Security Dezavantajları

Aktarım Katmanı Güvenliği, hesaplama zorlukları nedeniyle maliyetli veya yavaş olabilir. Ancak sertifikalar, rasgele sayılarla kritik değişimler gibi işlemler çok önemlidir.

TLS Protokolü Hakkında SSS

Tarayıcıda beliren o küçük asma kilit simgesi aslında bana ne anlatıyor?

O simge sitedeki veri akışının şifrelendiğini müjdeler. Gönderdiğiniz şifre veya kredi kartı bilgisi dışarıdan okunamaz. Yani arada ağ koklayan kötü niyetli biri olsa bile paketleri açamaz.

Asma kilit bir TLS bağlantısının kurulduğunu gösterir. Bu protokol, sunucuyla aranızda gizli, kurcalanmaya kapalı tünel açar. Buna karşın kilidi görünce hemen tam güven duymamalısınız.

Siteler kimlik hırsızları tarafından da koruma kullanılarak hazırlanabilir. Kilit sadece hattı korur, işletmenin dürüstlüğünü garanti etmez. Adres çubuğunu kontrol edip URL’yi teyit etmek sizin işiniz kalır.

Dilim hep SSL diyor ama güncel olan TLS'miş, aradaki fark nereden geliyor?

SSL dediğimiz teknoloji bu güvenlik serüveninin dedesidir. İlk sürümler ciddi açıklar yüzünden tarihe gömüldü. Bu protokolün olgunlaşmış, hızlanmış modern haline AES ve daha sağlam el sıkışmalar eklenince TLS adını aldı.

Sokaktaki insan hâlâ SSL diyor, sorun değil. Zira sertifikalarınızın pazarlama adı SSL olsa da perde arkasında TLS çalışır. Sunucu tarafında SSL 3.0 artık tamamen devre dışıdır.

Aralarındaki farkı şöyle düşünün: SSL eski model kilitli kapı, TLS ise retina taramalı çelik kapıdır. Güvenlik bültenlerini takip edenler için bu güncelleme hayati değer taşır.

Gözle göremediğimiz o şifreli tokalaşma anında neler olup bitiyor?

Tarayıcı sunucuya ‘merhaba’ der, hangi şifre paketlerini bildiğini sıralar. Sunucu dijital kimlik kartını yani sertifikasını hemen yollar. Sonra rastgele üretilmiş geçici bir oturum anahtarında anlaşırlar.

Bu anlaşma asimetrik şifreleme denen karmaşık matematikle başlar. Sunucunun açık anahtarı yalnızca onun özel anahtarının çözebileceği gizli veriyi paketler. Neticede bütün yük çok kısa sürer.

Asıl yoğun veri aktarımı artık simetrik anahtarla akar. İki taraf da aynı hızlı anahtarı kullanır, film izler gibi akan veri anında açılır. İşte bu yüzden sayfa yüklenirken saniyelik bir tereddüt yaşarsınız sadece.

Şifreleme kullanınca web sitem sürünür mü, performansı cidden etkiler mi?

Modern sunucular bu işi saniyenin binde biri sürede halleder. Özellikle TLS 1.3 ile tokalaşma süresi neredeyse sıfıra indi. Açıkçası metin tabanlı küçük sitelerde hız farkını hissetmeniz imkânsız.

Eskiden donanım yavaştı, protokol hantaldı. Günümüzde ise işlemciler şifreleme motorlarıyla geliyor, AES komut setini çatır çatır çalıştırıyor. Üstelik oturum yeniden başlatma özelliği sayesinde sürekli aynı işi tekrarlamak zorunda kalmazsınız.

Kısacası güvenlik uğruna feda ettiğiniz hızı hissetmezsiniz. Arama motorları da HTTPS kullanan sayfaları öne çıkarır, SEO’ya direkt katkısı vardır.

TLS şifreleme sistemi sadece web sitelerinde değil başka nerelerde karşıma çıkar?

E-postalarınızı bilgisayara çeken IMAP ve POP3 bağlantılarını aslında IMAPS ve POP3S ile korursunuz. Telefonunuzdaki mail uygulaması ayarlarında hemen fark edersiniz. Aynı mantıkla şirketinize bağlandığınız VPN tüneli de OpenVPN üstünden bu protokolü temel alır.

Anlık mesajlaşma ve VoIP uygulamaları da arka planda aynı kütüphaneleri kullanır. OpenSSL gibi açık kaynak araçlar tüm bu yazılımlara hayat verir. Örneğin cep telefonundaki bankacılık uygulaması en güncel güvenlik standardını şart koşar.

Kısaca iki sistem veri alışverişine başladığında bu güvenlik katmanı otomatik devreye girer. Hangi uygulama olduğu fark etmez, yeter ki geliştiricisi doğru yapılandırmış olsun.

Sahte bir site de aynı asma kilidi gösterip beni kandırabilir mi?

Maalesef kandırabilir. Dolandırıcılar ücretsiz sertifika alır, görünüşte kilit simgesi sunar. Sitenin adı ‘bankaniz.com’ yerine ‘bankaniz-secure.net’ ise işte an meselesidir. Buna karşın EV SSL denen genişletilmiş doğrulamalı sertifikalar şirket adını da yeşil çubukta gösterir.

Sertifika zinciri güvenin bel kemiğidir. Tarayıcı sertifikayı kök otoriteye kadar sorgular, zincirde kopukluk varsa kırmızı uyarı basar. Sonuçta o zinciri tanımıyorsa hemen bağlantıyı keser.

En önemli alışkanlık adres çubuğuna bakmaktır. Kilit varsa veri şifrelidir ama doğru kişide olduğunuzun garantisi sizde biter. Bu yüzden adresi elle yazmak her türlü oltalama saldırısını boşa çıkarır.

TLS (Transport Layer Security) Nedir? | Nasıl Çalışır?