HTTPS ve sertifikalar: asma kilit neyi kanıtlar, neyi kanıtlamaz

İlk ders, https:// adreslerinin şifreleme kullandığından bahsetmişti. Bu ders, o şifrelemenin nasıl kurulduğuna, tarayıcınızdaki asma kilit simgesinin gerçekte neye kefil olduğuna ve garantisinin nerede durduğuna daha yakından bakar.

TLS: asma kilidin arkasındaki protokol

HTTPS, ilk kez 1999’da yayımlanan ve şimdi 1.3 sürümünde olan bir protokol olan Aktarım Katmanı Güvenliği (TLS) içinde çalıştırılan sıradan web protokolü HTTP’dir. Cloudflare’ın Öğrenme Merkezi, TLS’in başardığı şeyi üç kısımda özetler: verisini ağdaki başka herkesten gizleyen şifreleme; konuştuğunuzu düşündüğünüz sunucuyla gerçekten konuştuğunuzu kontrol eden kimlik doğrulama; ve verinin aktarım sırasında değiştirilip değiştirilmediğini tespit eden bütünlük. Herhangi bir içerik değiş tokuş edilmeden önce, Mac’iniz ve sunucu bir “TLS el sıkışması” gerçekleştirir: bir TLS sürümü üzerinde anlaşırlar, kullanılacak kriptografik yöntemler üzerinde anlaşırlar ve oturumun geri kalanını şifreleyecek anahtarları üretirler.

Bir sertifika gerçekte neyi onaylar

O el sıkışmanın bir anlam ifade etmesi için, tarayıcınızın sunucunun açık anahtarının gerçekten yazdığınız siteye ait olduğuna dair bir kanıta ihtiyacı vardır. O kanıt, TLS sertifikasıdır. Cloudflare’a göre, bir sertifika; alan adını, açık anahtarı, bir son kullanma tarihini ve onu veren kim ise onun dijital imzasını bir araya getirir: tarayıcınızın ve işletim sisteminizin zaten güvendiği bir kuruluş olan bir sertifika otoritesi (CA). Yaygın olarak kullanılan, ücretsiz bir sertifika otoritesi olan Let’s Encrypt, süreci açıkça anlatır: bir sertifika vermeden önce, yazılımı talep edenin gerçekten alan adını kontrol ettiğini kontrol eder, örneğin onlardan o web sitesinde belirli bir dosya veya belirli bir DNS kaydı yayımlamalarını isteyerek. Ancak bu kontrolden sonra bir sertifikayı imzalar.

Bu önemlidir çünkü standart bir sertifikanın neyi kanıtladığının sınırını belirler. Bunu talep eden kim ise, o anda alan adını kontrol ettiğini kanıtlar. Sitenin arkasındaki işi incelemez, işletmecinin dürüst olup olmadığını kontrol etmez veya içeriğin güvenli olduğuna söz vermez. Bir dolandırıcı dahil herkes, bir alan adı kaydettirebilir ve dakikalar içinde onun için geçerli bir sertifika alabilir.

Asma kilidi doğru okumak

Electronic Frontier Foundation’ın Gözetime Karşı Kendini Savunma rehberi, altta yatan noktayı doğrudan ortaya koyar: “Bir hizmetin HTTPS kullanması, o hizmetin kullanıcılarının gizliliğini tamamen koruduğu anlamına gelmez.” HTTPS boruyu korur; hedefin oradan gelen şeyle ne yaptığı hakkında hiçbir şey söylemez. Aynı rehber, HTTPS’in bir sitede ziyaret ettiğiniz sayfayı ağı gizlice dinleyenlerden gizlediğini, ama sitenin kendisinin — aramalar, mesajlar, oturum açmalar gibi — yazdığınız her şeyi düz olarak almaya devam ettiğini belirtir, çünkü site şifrelenmiş bağlantının bir gözlemcisi değil, diğer ucudur.

Kendinden imzalı ve süresi dolmuş sertifikalar

Cloudflare ayrıca güvenilir bir sertifika otoritesi olmadan ne olduğunu açıklar: herkes kendi “kendinden imzalı” sertifikasını üretebilir, ama tarayıcıların bunu karşı kontrol edecek dış bir otoritesi yoktur, bu yüzden bu tür siteleri güvenli değil olarak işaretler veya onları yüklemeyi tamamen reddeder. Süresi dolmuş bir sertifika de benzer bir uyarı üretir. Her iki uyarı da mutlaka bir saldırının gerçekleştiği anlamına gelmez, ama tarayıcının şu anda kiminle konuştuğunu doğrulayamadığı anlamına gelir; bu da tam olarak TLS’in sağlamak üzere olduğu kontroldür.