İlerleyen teknoloji ile birlikte artık günümüz telefon ve tabletleri, kısacası internete erişimi olan akıllı cihazlar, web tarayıcılarının yaptığı gibi internete erişiyorlar. Durum böyle olunca saldırgan (hacker) özel iletişimleri ele geçirme şansı kazanıyor. Bu nedenle aradaki iletişimi korumak için ihtiyati tedbir almaları hayati önem taşır. Bunu yapmanın yollarından bir tanesi SSL/TLS gibi güvenlik protokollerini kullanmaktır.
SSL (Secure Socket Layer) nedir?
SSL (Secure Socket Layer), kullanılan internet bağlantısını güvenli tutmak ve iki sistem arasında gönderilen hassas verileri korumak, saldırganların (hacker) potansiyel kişisel bilgiler de dahil olmak üzere aktarılan bilgileri okumasını ve değiştirmesini önlemek için kullanılan bir teknolojidir. Örneğin, bir alışveriş sitesi ve tarayıcı arasındaki iletişim.
SSL (Secure Socket Layer) Nasıl Çalışır?
Kullanıcılar ve siteler arasında aktarılan herhangi bir verinin okunmasının imkansız kalmasını sağlayarak yapar. Verileri aktarım sırasında karıştırmak için şifreleme algoritmaları kullanır ve saldırganların (hacker) bağlantı üzerinden gönderilirken okumasını engeller. Bu bilgiler, kredi kartı numaraları gibi hassas veya kişisel herhangi bir şey olabilir. Sırasıyla,
- İstemci, sunucuya bir bağlantı isteği gönderir, sunucu isteği
- Sunucu, açık anahtar (public key) ve sertifika içeren bir yanıt
- İstemci, sertifikayı kontrol eder ve sunucuya şifrelenmiş bir anahtar gönderir.
- Sunucu, anahtarın şifresini çözer ve şifrelenmiş verileri istemciye geri gönderir.
- İstemci, şifrelenmiş veriyi alır ve şifresini çözer.
TLS (Transport Layer Security) nedir?
TLS (Taşıma Katmanı Güvenliği), SSL’in güncellenmiş, daha güvenli bir versiyonudur. Daha yaygın olarak kullanılan bir terim olduğu için güvenlik sertifikalarımızı hala SSL olarak adlandırıyoruz ancak SSL satın alırken aslında ECC, RSA veya DSA şifreleme seçeneği ile en güncel TLS sertifikalarını satın alıyorsunuz.
İlerleyen teknoloji ile birlikte artık günümüz telefon ve tabletleri, kısacası internete erişimi olan akıllı cihazlar, web tarayıcılarının yaptığı gibi internete erişiyorlar. Durum böyle olunca saldırgan (hacker) özel iletişimleri ele geçirme şansı kazanıyor. Bu nedenle aradaki iletişimi korumak için ihtiyati tedbir almaları hayati önem taşır. Bunu yapmanın yollarından bir tanesi SSL/TLS gibi güvenlik protokollerini kullanmaktır.
HTTPS (Hyper Text Transfer Protocol Secure) nedir?
Bir web sitesi bir SSL sertifikası ile koruma altına alındığında URL’de HTTPS (Hyper Text Transfer Protocol Secure) görünür. Sertifikayı veren makam ve web sitesi sahibinin kurumsal adı da dahil olmak üzere sertifikanın ayrıntıları, tarayıcı çubuğundaki kilit sembolüne tıklanarak görüntülenebilir.
SSL’in güvenlik faktörleri şunlara dayanmaktadır. Gönderici bir mesaj gönderdiğinde, istemci sertifikasının Trusted CA tarafından verilip verilmediğini doğrulamak için sunucunun SSL sertifikasını kontrol eder. SSL/TLS iletişimi güvenli ve kırılamaz olmasına rağmen, MITM (Man-in-the-Middle) saldırısı güvenli iletişim için hala bir tehdit oluşturmaktadır.
MITM saldırılarında, bilgisayar korsanları ağ iletişimindeki bir boşluğu keşfetmeyi başarır ve uygulama ile arka uç sunucu arasındaki iletişimin ortasında olmaya çalışır. MITM saldırıları tehlikelidir çünkü saldırgan bu saldırıları okuyabilir, değiştirebilir ve hatta İletişim kuran taraflar arasındaki mesajı kötüye kullanabilir.
Tam olarak bu kısımda SSL Pinning denilen olaya ihtiyaç duyuluyor. Uygulama geliştiricisi, geliştirdiği uygulamaya yalnızca tanımlanmış sertifikalara güvenmesini sağlıyor. Böylece geliştirilen uygulamanın trafiğinde ek bir güvenlik katmanı oluşur. Kısacası, özel oluşturulan sertifikalar ile uygulamanın trafiğine erişmeniz mümkün değil bu da saldırganların uygulamanın işlevselliğini ve sunucuyla iletişim kurma şeklini analiz etmesini engeller.
Tüm internet iletişimleri SSL sertifikaları ile güvenli hale getirilmelidir. Bu tür saldırılar yürütülmesi karmaşık olduğundan, SSL sabitleme son derece önceliklidir. Bu işlem sıkıcı ve karmaşık olsa da veri sızıntısı riskini azalttığı için çabaya değerdir.
Yazar: BBS Teknoloji Red Team Samet GÖZET
