SSL ağ üzerindeki veri iletimi sırasında bilginin bütünlüğü ve gizliliği için sunucu ile kullanıcı arasındaki iletişimin şifrelenmiş şekilde yapılabilmasını böylece gizli ve güvenli iletişim kurulmasını sağlar. Böylece iletişimde veri bütünlüğünün korunmasına da yardımcı olur. Hem SSL hem de HTTPS teknolojileri Netscape firması tarafından geliştirilmiştir. SSL teknolojisinde amaç, kişisel veri, ödeme veya giriş detayları gibi hassas bilgileri güvenli şekilde aktarmak olarak başlamış ancak günümüzde veriye güvenli ulaşabilmek için çok daha geniş alanlarda yayılmıştır.
SSL bütün web sunucuları ve web tarayıcıları tarafından desteklenen bir protokoldür. Bir web sitesi ile web tarayıcısı arasında şifrelenmiş iletişime olanak sağlar. Ek olarak TLS de SSL temelinde oluşturulan ve SSLv3’teki bilinen güvenlik açıklarına çözüm sağlamak için geliştirilmiş bir çözümdür. SSL veya TLS kullanılan alanlarda kriptolanan mesaj veya veri paketinin başka kimse tarafından okunmadığı veya değiştirilmediği kesin bir kanıdır. SSL, dünya çapında kullanılan standart bir algoritma içerir. SSL fonksiyonunun çalışabilmesi için sunucu tarafında bir anahtara (Private Key) ve sunucudan hizmet alan kullanıcı cihaz tarafında çalışan bir sertifikaya (Public Key) ihtiyaç duyar.
Bu durumda sunucu ve kullanıcı için gönderim ve yanıt aşamaları da düşünüldüğünde ikişer adet anahtar bulunmalıdır. Her alıcı ve gönderici bu anahtarlar sayesinde göndereceği veriyi şifreler ve aldığı veriyi de şifrelenmiş formattan okunabilir hale çevirir.
Public Key ve Private Key adı verilen anahtarların çalışma prensibi özel bir kodlama yöntemine dayalıdır. SSL kodlama için iki adet anahtar bulunur ve kilidi sadece bu iki anahtar açabilir. Bu anahtarlar, dijital ortamda kodlanmış yazılımlardır ve veriyi kriptolamak üzerine çalışır. Böylece bir anahtarın kilitlemiş olduğu veriyi, sadece diğer anahtar açar. Web sitesine giriş sonrasında bu özel anahtarlar yaratılır. Yaratılan anahtarlardan biri ana sunucuda kalır, diğeri ise bağlantı kurmak isteyen sunucu veya kullanıcıya tanımlanır. Dışarıdan kullanıcı ile iletişime geçilmek istenildiğinde Public Key kullanılarak mesaj kullanıcıya güvenli bir şekilde ulaştırılır. Veriler kullanıcıya ulaşmadan önce üçüncü kişiler tarafından ele geçirilse bile, şifrenin çözülüp mesajın okunması için Private Key gerekir. Bu sayede veri transferi üçüncü parti kişi veya yazılım tarafından deşifre edilemeyecek şekilde şifrelenir. Aynı anda aynı veri için sunucu tarafından üretilmiş olan anahtar çiftleri kullanılmadığı sürece bu şifreleri çözmek mümkün değildir. SSL sertifikası sayesinde sağlanan güvenli ve geçerli iletişim tarih ve saat olarak kayıt altında tutulur.
Ayrıca SSL sertifikası, Google’ın belirlediği SEO kriterlerinden birisidir. Bu sayede sitelerin Google şartlarına uyumlu hale gelerek arama sıralamalarda yükselmesi söz konusu olabilir. SEO, arama motoru optimizasyonudur. Arama motorlarının web sitelerini daha rahat bir şekilde anlayabilmesi ve tarayabilmesine olanak sağlar ve arama motorlarının kriterlerine uygun hale getirir. Bir web sitesinin arama motoruna optimize edilmesi ve arama sonucundaki sıralamasının yükselmesi veya düşmesi de SEO şartlarına bağlıdır.
Modern web tarayıcıların tümü SSL Protokolü’nü desteklemektedir. SSL yaygın olarak tarayıcılarda ve web sitelerinde kullandığı gibi neredeyse tüm internet erişim protokollerinde kullanılmaktadır. Eskiden standart iletişim yöntemleri ile kurulan SMTP, POP3 ve IMAP protokolleri de artık yerini SSL şifreleme yöntemine bırakmıştır. Böylece SSL şifreleme sayesinde Mail trafiğiniz saldırganlar tarafından izlenemez. Çalışma yapısına bakıldığıında üç farklı türde SSL doğrulama yöntemi bulunmaktadır.
- Alan Adı Doğrulama (DV)
Alan Adı Doğrulanmış Sertifika, yalnızca alan adı üzerinden domain kontorlü yapılarak kullanıcının alan sahibi veya ilgili alanda olduğunu doğrulayan bir sertifika kontrol yöntemidir. Sahip olunan alanını kullanım haklarına sahipliği doğrulamak için WHOIS bilgilerine veya o etki alanına ait e-posta adreslerine gönderilen bir e-posta alındığında oluşturulur. Hosting sağlayan firma veya domain üzerinde bulunan sistem yöneticisi tarafından sağlanan bilgilerin teyit edilmesinin ardından, sertifikanın kurulumu ve denetimi sağlanır. En yaygın kullanılan sertifika türüdür. SSL sertifikasına sahip olmanın en ekonomik ve en çabuk yoludur.
- Kurumsal Doğrulama (OV)
Kuruluş Tarafından Onaylanmış Sertifikalar için, kuruluş Sertifika Yetkilisi (CA) kuruluşun bilgilerini doğrulamak için onay verir. Kurumun gerçek bir organizasyon olduğuna emin olabilmek için “Kuruluş Adı, Fiziksel Adres ve Telefon Numarası” doğrulanır. Bu veriler, yayınlanmadan önce WHOIS bilgileri ve aynı zamanda bir kamu Hükümeti Bilgi sitesi veya onaylanmış bir Üçüncü Taraf Web Sitesi ile eşleşmelidir. Dolayısı ile sertifika kontrolü yapan bir tüketiciye daha fazla güven verir.
- Genişletilmiş Doğrulama (EV)
SSL sertifikasının en çok güvenilen türüdür. Genişletilmiş Doğrulama işlemi sırasında, ilgili adresin meşru bir iş olduğunu ve bir OV doğrulama işleminin üstünde ve ötesinde iyi durumda olduğunu tamamen doğrular. Aktif hale gelen en önemli gösterge, kullanıcının web tarayıcısındaki ‘Yeşil Çubuk’ dur. Bu sertifika türü en pahalı SSL sertifikasıdır.
- Ek olarak “Wilcard SSL” sertifikası, alan adındaki tüm subdomainler için ayrı ayrı SSL sertifikası alınmasını sağlar. “Multi – Domain SSL” sertifikası ise bir sunucuda kendine ait birden fazla web sitesi barındıran webmaster yöneticiler tarafından tercih edilir. Sunucuya kurulan bu SSL sertifikaları, sunucudaki tüm alan adlarında ortak şekilde kullanılabilir. Maddi açıdan tasarruf sağlaması nedeniyle sık tercih edilir.
Aslında SSL Protokolü uzun zaman önce yerini TLS olarak bilinen ve yaygın şekilde kullanılan TLS 1.3 sürümüne bırakmıştır. Aynı bağlamda kullanıldığı için tüm güvenlik sertifikalarına SSL olarak isim verilmektedir. Birçok işletim sistemi ve web sunucusu ise HSTS ve TLS 1.3 destekleri sunmaya başlamıştır. TLS, Transport Layer Security kısaltmasıdır. TLS bir şifreleme protokolüdür, aynı SSL’de olduğu gibi veri gizliliği sağlar ve SSL’in geliştirilmiş bir versiyonudur.
HTTP, Hyper Text Transfer Protocol kısaltmasıdır. Bilginin sunucudan kullanıcıya nasıl ve ne şekilde aktarılacağını gösteren protokoldür. Tüm web sitelerinde arama çubuğuna otomatik olarak eklenen bir protokoldür. Web sitelerinin görüntülenmesini sağlar ve kullanıcı sunucu arası iletişimin kurallarını belirler. Bir internet sitesine girmek için adres çubuğuna sitenin adresini yazıldığında HTTP ile sunucuya bir istek gönderilir. Sunucu bu isteğe cevap verdiğinde iletişim başlar ve internet sitesine giriş yapılır.
HTTPS, HTTP’nin güvenli uzantısıdır. TLS/SSL sertifikası yüklemiş olan web siteleri sunucu ile güvenli bir bağlantı kurmak için HTTPS protokolü kullanılır. SSL sertifikası HTTPS kullanılmadan iletişime geçemez. Bu iki protokol birbiri ile bir uyum içerisinde çalışmak zorundadır. Bir web sitesinin SSL sertifikası kullanıp kullanmadığını anlamanın bir yolu URL adresini kontrol etmektir. Çünkü HTTPS bağlantılarının çalışabilmesi için bir SSL sertifikasına ihtiyaç vardır. Bir başka yol ise tarayıcısının adres çubuğunun yanında “güvenli” mesajı gösteren yeşil kilit ikonu görünür. SSL/TLS kullanımının sağlayacağı üç temel avantaj aşağıda paylaşılmıştır.
- Kimlik doğrultmaya ihtiyaç duyulması: SSL/TLS sayesinde herhangi bir sunucunun, iletişim kurulacak olan asıl sunucu gibi davranarak bu esnada kullanıcıların iletieşimine ve bilgilerine erişebilirliği sunucunun kimliği doğrulanarak engellenir.
- Güven vermek: e-Ticaret siteleri ve kritik bilgileri talep eden veya sunan sayfalarda belirli bir güven inşa edilmelidir. Bir SSL sertifikası kullanımı ile bilgi güvenliği üzerine kullanıcıların güveni kazanılabilir.
- Piyasa standartlarına uyum sağlamak: Finans sektörü gibi bazı sektörlerde, belirli bir güvenliğe sahip olmak gerekmektedir. Ayrıca eğer web sitesi üzerinde kredi kartı bilgisi alınacaksa, Payment Card Industry (PCI) standartlarına uyulması ve uygulanması gerekir. Bu gerekliliklerden biriside SSL/TLS sertifikasıdır.
Web sitesine SSL sertifikasını yükleyip HTTPS aktif edilmesi için 301 yönlendirmesi yapılmalıdır. Ancak SSL sertifikası ekleyip 301 yönlendirmesi yapılmış olsa bile, siteden SSL sertifikasız sürüme (yani “HTTP” sürüme) manuel erişim mümkün olabilir. Bu durumda siteyi ziyaret eden kullanıcı, “HTTP” ile başlayan adrese gittiğinde, veri aktarımları tamamen güvensiz gerçekleşir. HSTS politikası sayesinde ziyaretçinin tarayıcısı, siteye sadece “HTTPS” ile bağlanılabileceği konusunda uyarılır ve otomatik olarak tarayıcı tarafından yönlendirilir. Ayrıca HSTS’yi etkinleştiren siteler daha hızlı açıldığı için, arama motoru sonuçlarına da olumlu yansıdığı düşünülmektedir. HSTS politikasını etkinleştirmek için sadece sertifika uzantısına ufak bir ekleme yapmak gerekmektedir.
