TLS Güvenlik Protokolü Nedir? Transport Layer Security Hakkında Kapsamlı Rehber

Transport Layer Security (TLS), güvenli internet iletişiminin omurgasıdır. Bir web sitesine her giriş yaptığınızda, ödeme gönderdiğinizde veya şifreli bir e-posta gönderdiğinizde, TLS verilerinizi korumak için arka planda sessizce çalışmaktadır. Ancak kritik önemi olmasına rağmen, birçok web sitesi sahibi ve geliştirici TLS’nin gerçekte nasıl çalıştığı ve bunu doğru yapmanın neden çok önemli olduğu konusunda yalnızca yüzeysel bir anlayışa sahiptir.

Bu kapsamlı rehber, TLS hakkında bilmeniz gereken her şeyi açıklamaktadır: nasıl çalıştığı, hangi sürümü kullanmanız gerektiği, SSL’den farkı ve kendi web siteniz veya sunucunuzda nasıl doğru şekilde uygulanacağı.

TLS Nedir?

TLS (Transport Layer Security), bir ağ üzerinde — en yaygın olarak internet üzerinde — güvenli, kimliği doğrulanmış ve kurcalamaya karşı korumalı iletişim sağlamak için tasarlanmış bir kriptografik protokoldür. SSL (Secure Sockets Layer) protokolünün doğrudan halefidir; SSL artık tamamen kullanımdan kaldırılmıştır ve TLS önemli ölçüde daha güçlü güvenlik mekanizmaları içerir.

TLS, veri gizliliği ve bütünlüğü talep eden çok çeşitli uygulamalar arasında kullanılmaktadır:

• Web taraması (HTTPS)
• E-posta iletimi (SMTP, IMAP, POP3 over TLS)
• Anlık mesajlaşma
• Voice over IP (VoIP)
• Sanal Özel Ağlar (VPN)
• Sunucular arasında API iletişimi

Kısacası, hassas veriler bir ağ üzerinden hareket ediyorsa, TLS neredeyse kesinlikle — ve olması gereken — dahil olmaktadır.

TLS Nasıl Çalışır: Adım Adım Açıklama

TLS, asimetrik şifreleme (ilk el sıkışma sırasında kullanılan) ve simetrik şifreleme (gerçek veri transferi için kullanılan) kombinasyonu aracılığıyla çalışmaktadır. Bu hibrit yaklaşım, güçlü güvenliği hesaplama verimliliğiyle dengeler.

Adım 1: TLS El Sıkışması

Herhangi bir şifreli veri alışverişinden önce, istemci (örneğin, bir web tarayıcısı) ve sunucu güvenli bir bağlantıyı müzakere etmelidir. Bu işleme TLS el sıkışması adı verilir ve birkaç önemli değişim içerir:

1. Client Hello — İstemci, desteklediği TLS sürümünü, desteklenen şifre paketlerinin listesini (şifreleme algoritmaları) ve rastgele oluşturulmuş bir numarayı içeren bir mesaj göndererek bağlantıyı başlatır.
2. Server Hello — Sunucu, şifre paketini seçerek, dijital sertifikasını (genel anahtarını içeren) göndererek ve kendi rastgele numarasını sağlayarak yanıt verir.
3. Sertifika Doğrulaması — İstemci, sunucunun kimliğinin meşru olduğunu doğrulamak için sunucunun sertifikasını güvenilir bir Sertifika Yetkilisine (CA) karşı doğrular.
4. Anahtar Değişimi — Sunucunun genel anahtarını kullanarak, istemci ve sunucu paylaşılan bir oturum anahtarı türetir (veya TLS 1.3’te Diffie-Hellman gibi bir anahtar anlaşması protokolü kullanır).
5. El Sıkışma Tamamlandı — Her iki taraf da el sıkışmanın bittiğini doğrular ve kararlaştırılan simetrik oturum anahtarını kullanarak şifreli iletişime başlar.

> TLS 1.3 iyileştirmesi: TLS 1.3 el sıkışması önemli ölçüde daha hızlıdır; iki yerine bir gidiş-dönüş (1-RTT) içinde tamamlanır ve dönen bağlantılar için 0-RTT özgeçmişi destekler — güvenlikten ödün vermeden performansı dramatik şekilde iyileştirir.

Adım 2: Simetrik Veri Şifrelemesi

El sıkışma paylaşılan bir oturum anahtarı oluşturduktan sonra, sonraki tüm veriler simetrik şifreleme (örneğin, AES-256-GCM) kullanılarak şifrelenir. Simetrik şifreleme, asimetrik şifrelemeden çok daha hızlıdır ve gerçek zamanlı olarak büyük hacimli verileri şifrelemek için uygun olmaktadır.

Adım 3: Veri Bütünlüğü Doğrulaması

TLS, iletilen her mesajın transit sırasında değiştirilmediğini sağlamak için İleti Kimlik Doğrulama Kodları (MAC) — veya TLS 1.3’te AEAD (İlişkili Verilerle Kimliği Doğrulanmış Şifreleme) — kullanmaktadır. Her mesaj bir kriptografik hash içerir; tek bir bit bile değiştirilirse, hash eşleşmeyecek ve bağlantı sonlandırılacaktır.

Bu üç adımlı işlem — şifrele, kimlik doğrula, doğrula — TLS’yi ortadaki adam saldırılarına, dinlemeye ve veri kurcalamaya karşı bu kadar sağlam kılan şeydir.

TLS’nin Üç Temel Güvenlik Özelliği

TLS, üç temel güvenlik garantisine dayanmaktadır:

Birlikte, bu özellikler kullanıcıların kullandıkları bağlantıya güvenebilmesini — ve gönderdikleri ve aldıkları verilerin tam olarak amaçlandığı şekilde olmasını sağlar.

TLS Sürümleri: Hangisini Kullanmalısınız?

TLS, birkaç sürüm aracılığıyla gelişmiştir; her biri öncülünde keşfedilen güvenlik açıklarını ele almaktadır. İşte tam bir genel bakış:

TLS 1.0 (1999) — Kullanımdan Kaldırıldı

SSL 3.0’a büyük ölçüde dayanan ilk resmi TLS yayını. SSL’ye göre iyileştirmeler sundu ancak BEAST ve POODLE gibi güvenlik açıkları nedeniyle artık güvenli olmayan kabul edilmektedir. 2020’den beri tüm büyük tarayıcılar tarafından devre dışı bırakılmıştır.

TLS 1.1 (2006) — Kullanımdan Kaldırıldı

CBC doldurma saldırılarına karşı koruma ekledi ancak yine de zayıf kriptografik ilkellere dayanmaktadır. Ayrıca 2020’den beri kullanımdan kaldırılmış ve devre dışı bırakılmıştır.

TLS 1.2 (2008) — Yaygın Olarak Desteklenen, Hala Kabul Edilebilir

Daha güçlü şifre paketleri (AES-GCM ve SHA-256 dahil) için destek sunarak, eski algoritmaları kaldırarak ve kimliği doğrulanmış şifreleme ekleyerek büyük bir iyileştirmedir. TLS 1.2 yaygın olarak dağıtılmaya devam etmektedir ve uygun şekilde yapılandırıldığında — güçlü şifre paketleriyle ve zayıf seçenekler (RC4, 3DES, SHA-1) açıkça devre dışı bırakılarak — hala kabul edilebilir kabul edilmektedir.

TLS 1.3 (2018) — Mevcut Standart, Şiddetle Önerilen

Protokolün bugüne kadarki en önemli revizyonu. TLS 1.3, tüm eski kriptografik algoritmaları kaldırır, ileri gizliliği zorunlu kılar, el sıkışma gecikmesini azaltır ve bilinen saldırıların tüm kategorilerini ortadan kaldırır. Temel iyileştirmeler şunları içerir:

• RSA anahtar değişiminin kaldırılması (geçici Diffie-Hellman ile değiştirildi)
• Zorunlu Mükemmel İleri Gizliliği (PFS)
• Daha hızlı 1-RTT el sıkışması (ve 0-RTT özgeçmişi)
• MD5, SHA-1, RC4, DES, 3DES ve diğer zayıf algoritmaların ortadan kaldırılması
• Basitleştirilmiş, daha güvenli şifre paketi listesi

Bugün bir sunucu yapılandırıyorsanız, TLS 1.3 minimum hedefin olması gerekir; eski istemci uyumluluğu için TLS 1.2 yedek olarak kullanılmalıdır.

TLS’nin Yaygın Gerçek Dünya Kullanımları

HTTPS Web Taraması

TLS’nin en görünür kullanımı. Bir web sitesi HTTPS kullandığında, kullanıcının tarayıcısı ile web sunucusu arasındaki tüm iletişim şifrelenir. TLS olmadan, giriş kimlik bilgileri, form gönderimleri ve oturum çerezleri düz metin olarak iletilir — herhangi bir paylaşılan ağda önemsiz şekilde yakalanabilir.

E-posta Güvenliği

TLS, posta sunucuları arasında e-postayı transit sırasında şifreler (STARTTLS veya SMTP over TLS) ve posta istemcileri ile sunucular arasında (IMAP/POP3 over TLS). Kendi posta altyapınızı çalıştırıyorsanız, TLS’yi etkinleştirmek tartışılmazdır. Yönetilen bir çözüm arıyorsanız, E-posta Barındırması yerleşik TLS desteğiyle yapılandırma yükünün çoğunu ortadan kaldırır.

VPN’ler ve Güvenli Tüneller

OpenVPN ve SSL VPN’ler dahil olmak üzere birçok VPN uygulaması, genel internet altyapısı üzerinde tünelleri kurmak ve güvenli hale getirmek için TLS kullanmaktadır.

VoIP ve Gerçek Zamanlı İletişim

TLS (medya akışları için SRTP ile birleştirilmiş), VoIP çağrılarını ve gerçek zamanlı mesajlaşmayı kesintiye uğratma ve yeniden oynatma saldırılarından korumaktadır.

API ve Mikro Hizmet İletişimi

Modern uygulama mimarileri, REST API’lerini, gRPC hizmetlerini ve mikro hizmet ortamlarında hizmetler arası iletişimi güvenli hale getirmek için TLS’ye dayanmaktadır — özellikle bulut ve konteynerleştirilmiş dağıtımlarda kritik olmaktadır.

TLS Sertifikaları: Nedir ve Neden Önemlidir

Bir TLS sertifikası (yaygın olarak SSL sertifikası olarak adlandırılır, ancak terminoloji eski olmakla birlikte) iki amaca hizmet eden dijital bir belgedir:

1. Kimlik doğrulama — Bağlandığınız sunucunun iddia ettiği kişi olduğunu ve güvenilir bir Sertifika Yetkilisi (CA) tarafından doğrulandığını kanıtlar.
2. Anahtar dağıtımı — Sunucunun genel anahtarını içerir; bu anahtar TLS el sıkışması sırasında kullanılır.

Sertifikalar, DigiCert, Sectigo, GlobalSign ve Let’s Encrypt gibi güvenilir Sertifika Yetkileri (CA’lar) tarafından verilmektedir. Tarayıcılar ve işletim sistemleri güvenilir CA’ların bir listesini tutar; bir sertifika güvenilir bir CA tarafından imzalanmışsa, bağlantı geçerli kabul edilmektedir.

TLS Sertifikası Türleri

Bir Web Sitesinin Sertifikasını Kontrol Etme

Herhangi bir modern tarayıcıda, adres çubuğundaki asma kilit simgesine tıklayın. Bu, sertifika yayınlayıcısını, kapladığı etki alanını, geçerlilik dönemini ve verildiği kuruluşu ortaya koymaktadır. Eksik bir asma kilit — veya uyarı içeren kırık bir asma kilit — hemen ele alınması gereken bir TLS yapılandırma sorunu göstermektedir.

Web sitenizi veya uygulamanızı güvenli hale getirmeniz gerekiyorsa, SSL Sertifikaları belirli gereksinimlerinize uyacak şekilde çeşitli doğrulama seviyeleriyle mevcuttur.

TLS vs. SSL: Farkı Anlamak

“TLS” ve “SSL” terimleri endüstride sıklıkla birbirinin yerine kullanılmaktadır; bu da önemli karışıklığa neden olmaktadır. İşte kesin açıklama:

SSL öldü. SSL 2.0 2011’de kullanımdan kaldırıldı. SSL 3.0, POODLE güvenlik açığını takiben 2015’te kullanımdan kaldırıldı. Hala SSL desteğini ilan eden herhangi bir sunucu bir güvenlik yüküdür.

Satıcılar veya barındırma sağlayıcıları “SSL sertifikaları” ne zaman bahsetseler, neredeyse evrensel olarak TLS bağlantıları içinde kullanılan sertifikaları ifade etmektedirler. Adlandırma kuralı tarihsel bir yapıdır — temel protokol TLS’dir.

Web Siteniz veya Sunucunuzda TLS Nasıl Uygulanır

TLS’yi doğru şekilde uygulamak, yalnızca bir sertifika yüklemekten daha fazlasını içermektedir. İşte üretime hazır bir uygulama kontrol listesi:

1. TLS/SSL Sertifikası Edinin

• Ücretsiz seçenek: Let’s Encrypt, ACME protokolü aracılığıyla ücretsiz, otomatik yenilenen DV sertifikaları sağlamaktadır (Certbot en yaygın istemcidir).
• Ücretli seçenek: Ek doğrulama seviyeleri ve garanti kapsamı için güvenilir bir CA’dan DV, OV veya EV sertifikası satın alın. AlexHost, çeşitli kullanım durumlarına uygun SSL Sertifikaları sunmaktadır.

2. Sertifikayı Sunucunuza Yükleyin

Yükleme işlemi web sunucusuna göre değişmektedir:

Nginx:

server {
    listen 443 ssl;
    ssl_certificate /etc/ssl/certs/your_domain.crt;
    ssl_certificate_key /etc/ssl/private/your_domain.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;
}

Apache:

<VirtualHost *:443>
    SSLEngine on
    SSLCertificateFile /etc/ssl/certs/your_domain.crt
    SSLCertificateKeyFile /etc/ssl/private/your_domain.key
    SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
    SSLCipherSuite HIGH:!aNULL:!MD5
</VirtualHost>

3. HTTPS’yi Zorunlu Kılın (HTTP’yi HTTPS’ye Yönlendirin)

Nginx:

server {
    listen 80;
    server_name yourdomain.com;
    return 301 https://$host$request_uri;
}

Apache (.htaccess):

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

4. HTTP Strict Transport Security (HSTS) Etkinleştirin

HSTS, tarayıcılara bir kullanıcı http:// yazsa bile etki alanınız için her zaman HTTPS kullanmasını söylemektedir:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

5. Zayıf Protokolleri ve Şifre Paketlerini Devre Dışı Bırakın

TLS 1.0 ve 1.1’i açıkça devre dışı bırakın ve zayıf şifreleri (RC4, 3DES, NULL, EXPORT-grade) kaldırın. Yapılandırmanızı doğrulamak ve A+ derecelendirmesi elde etmek için SSL Labs Server Test gibi araçları kullanın.

6. Sertifika Otomatik Yenilemeyi Ayarlayın

TLS sertifikaları sona erer (Let’s Encrypt için tipik olarak 90 gün sonra veya ticari CA’lar için 1–2 yıl sonra). Beklenmedik sertifika süresi dolmasını önlemek için bir cron işi veya systemd zamanlayıcısı ile yenilemeyi otomatikleştirin.

TLS yapılandırmasının sizin için işlendiği yönetilen bir ortamı tercih ederseniz, cPanel ile VPS SSL yönetimi, sertifika yüklemesi ve HTTPS zorunluluğu için sezgisel bir arayüz sağlamaktadır; manuel sunucu yapılandırması gerekmemektedir.

TLS Neden SEO ve İşletme Güveni İçin Kritiktir

TLS sadece bir güvenlik önlemi değildir — doğrudan iş ve SEO etkileri vardır:

• Google sıralama sinyali: Google, HTTPS’nin bir sıralama faktörü olduğunu doğrulamıştır.