Tarayıcıdaki kilit ne diyor: HTTPS ve sertifikalar

Adres çubuğundaki kilit, internetin en çok görülen ve en çok yanlış okunan simgesi. Ne anlattığını tam olarak bilmek, hem gereksiz korkuyu hem de yanlış güveni ortadan kaldırıyor.

İki ayrı söz veriliyor

HTTPS bağlantısı iki şey sağlar:

1. Gizlilik ve bütünlük: aradaki hiç kimse trafiği okuyamaz ve fark edilmeden değiştiremez. Kafedeki ağ, internet sağlayıcınız, yoldaki hiçbir aracı içeriği göremez.
2. Alan adı kimliği: bağlandığınız sunucu, adres çubuğunda yazan alan adının denetimine sahip olduğunu kanıtlamıştır.

Burada bitiyor. Kilit; sitenin dürüst olduğunu, ürünü göndereceğini, verinizi satmayacağını ya da arkasındaki şirketin gerçek olduğunu söylemiyor. Bir dolandırıcı da kendi alan adı için geçerli bir sertifika alabilir — ücretsiz ve dakikalar içinde. Bu yüzden oltalama sitelerinin neredeyse tamamı HTTPS üzerinden çalışıyor.

Sertifika aslında ne

Sertifika, bir alan adı ile bir açık anahtarı birbirine bağlayan, üçüncü bir tarafın imzaladığı bir belge. İmzalayan tarafa sertifika otoritesi deniyor.

Zincir şöyle işliyor: işletim sisteminiz ve tarayıcınız, güvenilir kabul edilen kök otoritelerin listesini taşır. Bir site sertifikası, bu köklerden birine kadar uzanan bir imza zinciriyle doğrulanabiliyorsa geçerlidir. Zincirin bir halkası eksik, süresi geçmiş ya da kök listede değilse tarayıcı uyarı verir.

Doğrulama tek yönlü bir kimlik kontrolü değil; aynı zamanda şifrelemenin kurulduğu yer. Tarayıcı ile sunucu, o oturum için geçerli anahtarları üzerinde anlaşır ve bu anlaşmanın karşı tarafın gerçekten sertifika sahibi olduğunu kanıtlaması gerekir. Sertifika olmadan şifreleme, kiminle şifreli konuştuğunuzu bilmemek anlamına gelirdi.

Doğrulama seviyeleri

• Alan adı doğrulaması: en yaygın tür. Otorite yalnızca alan adının denetiminde olduğunuzu kontrol eder; otomatik, ücretsiz ve hızlı. Güvenliği zayıf değil, yalnızca kurumsal kimlik iddiası taşımıyor.
• Kurum doğrulaması ve genişletilmiş doğrulama: şirketin varlığı belgelerle kontrol edilir. Eskiden tarayıcılar bunları yeşil adres çubuğuyla gösteriyordu; kullanıcıların bu ayrımı doğru okumadığı görüldüğü için görsel ayrıcalık büyük ölçüde kaldırıldı. Bugün yalnızca sertifika ayrıntılarına bakıldığında görülüyor.

Ücretsiz ve otomatik sertifikaların yaygınlaşması internetin tamamını şifrelenmiş hâle getirdi — bu iyi bir gelişme. Yan etkisi, kilidin bir güven göstergesi olarak değerini yitirmesi oldu.

Sık görülen hatalar ve anlamları

• Sertifika süresi doldu: genellikle sunucuda yenileme otomasyonunun bozulması. Ziyaretçi tarafında yapılacak bir şey yok.
• Ad uyuşmuyor: sertifika başka bir alan adı için düzenlenmiş. Yanlış yapılandırma olabilir, ama trafiğin başka bir yere gittiğinin işareti de olabilir.
• Bilinmeyen otorite: zincirin kökü güvenilir listede değil. Kurumsal ağlarda, trafiği inceleyen bir ara cihaz için kurulan özel kök sertifikaları bu uyarıyı yok eder — yani şirket ağında HTTPS trafiğiniz görülebilir hâle gelmiş olabilir.
• Cihaz saatinin yanlış olması: sertifikaların geçerlilik aralığı tarihe bağlı olduğundan, saati şaşmış bir cihazda her site hatalı görünür. Şaşırtıcı biçimde sık rastlanan bir neden.
• Karışık içerik: sayfa HTTPS ile gelirken içindeki bazı dosyalar şifresiz çağrılıyor. Tarayıcı bunları engeller ya da kilidi düşürür.

Önemli kural: uyarıyı geçip devam etmek, yalnızca ne yaptığınızı tam olarak bildiğiniz durumlarda makul. Parola veya ödeme bilgisi girilecek bir sayfada asla.

Neyi korumuyor

HTTPS yalnızca yolu koruyor, uçları korumuyor:

• Hangi siteye bağlandığınız tamamen gizli değil; adres çözümlemesi ve bağlantı kurulumu bu bilgiyi sızdırabilir. DNS yazısında anlattığımız şifreli çözümleme bu açığı kapatmaya yönelik.
• Sunucuda veriniz şifresiz duruyor olabilir; sızıntılar genellikle yolda değil, uçta oluyor.
• Sahte siteye bilgi yazarsanız şifreli tünel bunu dolandırıcıya güvenle teslim eder. Buradaki en etkili koruma, alan adını sizin yerinize kontrol eden parola yöneticisi.
• Trafiği başka bir ülkeden geçirmek istiyorsanız o ayrı bir araç işi; farkını VPN yazısında ele aldık.

Site sahibi tarafında

Birkaç pratik not: sertifikayı otomatik yenileyen bir düzen kurun ve bitiş tarihini ayrıca izleyin; HTTP isteklerini HTTPS’e yönlendirin ve tarayıcıya yalnızca şifreli bağlanmasını söyleyen başlığı ekleyin; özel anahtarı yedeklerinizde açıkta bırakmayın; alt alan adlarını kapsayan sertifikalarda kapsamı gereğinden geniş tutmayın. Son olarak, alan adınız için kimlerin sertifika aldığı herkese açık kayıtlarda izlenebiliyor — bunu kontrol etmek, kötüye kullanımı erken yakalamanın basit bir yolu.

Kilit, konuştuğunuz kişinin kim olduğunu değil; başkasının araya girmediğini garanti ediyor.