TLS Yapılandırma Güvenliği: Web Sunucuları İçin Pratik Sıkılaştırma Rehberi

TLS, uygulama güvenliğinin ağa değdiği yerdir ve boşluk yapılandırmadadır. TLS 1.0 müzakere eden, eski CBC suite'leri sunan veya süresi dolmuş sertifika yayınlayan bir sunucu "çoğunlukla güvenli" değildir — downgrade yolları sunuyor demektir. Mozilla'nın SSL Configuration Generator cipher suite hesabını yapar; aşağıdaki kontroller onun çevresindeki kararlardır.

1. Taban Koyun: Minimum TLS 1.2, Tercihen TLS 1.3

TLS 1.0 ve 1.1'i koşulsuz devre dışı bırakın — öngörülebilir IV ve CBC padding oracle'ları müzakere ederler. Modern istemciler her yerde TLS 1.2'yi destekler; önce TLS 1.3 sunun, TLS 1.2'ye düşürün, 1.2'nin altını hata koşulu sayın.

2. AEAD Suite'leri Sunun — Geri Kalan Her Şeyi Kapatın

TLS 1.2'de AEAD suite'leriyle sınırlayın (Mozilla generator'a göre ECDHE-ECDSA-AES128-GCM-SHA256 ve kardeşleri). RC4, 3DES, DES, export ve anonim DH'yi kaldırın. CBC modu, tarihsel TLS kırılmalarının en büyük kaynağıdır — istemciler izin verdiğinde kaldırın.

3. HTTP Strict Transport Security (HSTS)

Strict-Transport-Security: max-age=31536000; includeSubDomains başlığı verin (preload yalnızca her subdomain'i kontrol ediyorsanız ekleyin; preload tek yönlü bir kapıdır). HSTS, sonraki bağlantıyı downgrade ve SSL-stripping'e karşı korur — tam olarak plaintext yanlış yapılandırmalarının davet ettiği saldırı yolu budur.

4. Sertifika Hijyeni: Ömür, Otomasyon ve Süre Uyarısı

Sertifikalar sessizce dolar. ACME otomasyonu ile 60–90 günlük geçerlilik penceresi kurun, kalan günü izleyin ve 14 günde uyarı verin. Bayat bir sertifika canlı, kimlik doğrulamasız bir güven atlamasıdır — tarayıcılar uyarı gösterir, kullanıcılar geçmeye tıklar, saldırganlar bayram eder.

5. Session Ticket'ları: Sunucu başına Rastgeleleştirin

Session resumption ticket'ları makine başına benzersiz olmalı veya mühürlü kullanılmalıdır. Bir sunucu filo genelinde tek ticket anahtarı paylaşırsa, ele geçirilen tek node eski oturumları filo geneline diriltir. Kısa ticket ömrü tercih edin ve anahtarları döndürün.

Hatalansız Bir Sertifika Geçişi

Hamle sırasını dikkatli planlayın. Önce TLS 1.3 ve HSTS'yi açın; bunlar geriye uyumlu değişikliklerdir ve tabanı hemen yükseltir. Ardından staging'de cipher suite'leri Mozilla modern profiline sınırlayın ve bir hafta istemci handshake telemetrisi izleyip sonra üretime taşıyın. Son olarak OCSP stapling doğrulamasını ve session-ticket anahtar rotasyonunu aynı bakım penceresine planlayın; kafa karışıklığı yapan bir sertifika olayı, alakasız yapılandırma değişikliğiyle aynı anda yaşanmasın.

SSLScan ve TestSSL ile Doğrulamak

Yapılandırmayı test etmek, kendi log'lara güvenmekten daha iyidir. testssl.sh aracı; protocol surface'ı, cipher suite seçimi, sertifika zincir bütünlüğü ve HSTS davranışını tarayıcıdan alamadığınız detayda raporlar. Üretime almadan önce her seferinde testssl çalıştırın, profili Mozilla modern ile karşılaştırın. Eskimiş suite'ler düşündüğünüzden sıklıkla canlıda çıkar; tespit etmek için test, otomatik olarak schedule'a bağlanmalıdır. Bir TLS bulgusu bulmak pahalı değildir; bulguyu istemeden kaçırmak pahalıdır.

Bir İncelemede Neler Görülür

Bir TLS incelemesi "HTTPS var"da durmaz. Protokol yüzeyini, suite seçimini Mozilla'nın modern profiline göre, HSTS duruşunu, sertifika ömrünü ve otomasyonu, OCSP stapling'i inceler. Her bulgu, açtığı somut downgrade veya plaintext yoluna göre derecelendirilir.

Kaynaklar

• Mozilla SSL Configuration Generator
• OWASP Transport Layer Protection Cheat Sheet
• Let's Encrypt Sertifika Geçerlilik