HTTPS ve kilit simgesi

Açılış

Beyanname döneminin ortasında Defne Hanım'ın kıdemli çalışanına bir e-posta geldi. Bir kamu hizmetinin adını taşıyordu ve bir müşterinin borç kaydında düzeltme yapılması gerektiğini, bunun için bağlantıya tıklayıp giriş yapılmasını istiyordu. Çalışan bağlantıyı açtı. Sayfa, her gün kullandığı resmî giriş sayfasının birebir aynısıydı: aynı renkler, aynı logo, aynı kutular. Adres çubuğunun solunda küçük bir kilit simgesi duruyordu.

Çalışan tam kimlik numarasını yazacakken durdu, çünkü son derslerde bir alışkanlık edinmişti: adres çubuğunun tamamını okumak. Adres, resmî alan adına benziyordu ama değildi; sonuna bir kelime eklenmişti ve uzantısı farklıydı. Peki kilit simgesi ne anlama geliyordu? Çalışan, kilidin sitenin güvenilir olduğunu gösterdiğini yıllardır duymuştu.

Kilit doğruyu söylüyordu: bağlantı gerçekten şifreliydi. Ama sorulmamış bir soruya cevap veriyordu. Çalışanın sorusu "bu site gerçek mi?" idi; kilidin cevabı ise "bu siteyle aranızdaki konuşma şifreli" idi. Bu ders, şifreli bağlantının neyi koruduğunu ve kilit simgesinin neyi asla söylemediğini anlatıyor.

Tek fikir

HTTPS, tarayıcı ile sunucu arasındaki konuşmayı yolda gizli ve değiştirilemez kılar ve sunucunun adres çubuğundaki alan adına gerçekten sahip olduğunu doğrular. Ama o alan adının kime ait olduğunu, sitenin dürüst olup olmadığını söylemez; sahte bir site de kilit taşıyabilir.

Nasıl çalışır

İlk iki derste isteklerin ve yanıtların içeriğini, üçüncüsünde oturum çerezlerinin bir anahtar kadar değerli olduğunu gördük. Bütün bunlar, ağ modülünde öğrendiğimiz gibi, yol boyunca birçok cihazdan geçer. Şifresiz bir bağlantıda bu cihazların her biri parolayı, çerezi ve sayfanın içeriğini okuyabilir ve değiştirebilir.

TLS üç şey sağlar ve üçü de Modül 1'deki köşelere karşılık gelir. Gizlilik: yoldaki bir cihaz konuşmanın içeriğini okuyamaz. Bütünlük: yoldaki bir cihaz içeriği fark edilmeden değiştiremez. Ve kimlik doğrulama: tarayıcı, konuştuğu sunucunun adres çubuğundaki alan adının gerçek sahibi olduğunu doğrular.

Kimlik doğrulamanın neden gerekli olduğunu bir saldırı türü açıklar.

Kilit simgesi işte bu üç kontrolün geçtiğini gösterir: bağlantı şifreli, içerik korunuyor ve sunucu adres çubuğundaki alan adının sahibi. Sorun, insanların kilidi bambaşka bir şey olarak okumasıdır.

Kıdemli çalışanın gördüğü sahte sayfa tam olarak buydu. Saldırgan kendine benzer bir alan adı almış, o alan adı için geçerli bir sertifika edinmişti; bu, kendi alan adının sahibi olduğunu kanıtlamak kadar kolaydı. Tarayıcının bütün kontrolleri doğru çalışıyordu: bağlantı şifreliydi ve sunucu gerçekten o benzer alan adının sahibiydi. Tarayıcının bilemeyeceği tek şey, çalışanın aslında başka bir alan adına gitmek istediğiydi.

Bir de şifreli bağlantıya hiç geçilmemesi riski var. Kullanıcı adres çubuğuna yalnız alan adını yazdığında, tarayıcı eskiden önce şifresiz bağlantıyı denerdi ve sunucu onu şifreliye yönlendirirdi. O ilk şifresiz adım, yoldaki birine araya girme fırsatı veriyordu. Bunu kapatmak için siteler tarayıcıya "beni her zaman şifreli aç" diyebilir.

Sahada

Savunma

HTTPS ve kilit simgesi için savunma, kilidin söylediğini ve söylemediğini ayırmaktır.

İlk kural, şifresiz bir sayfaya hiçbir hassas bilgi yazmamaktır. Adresi http ile başlayan ya da tarayıcının "güvenli değil" diye işaretlediği bir sayfada parola, kart bilgisi ya da kimlik numarası, yoldaki herkese açıktır. Bugün tarayıcıların çoğu şifresiz sayfaları açıkça işaretler; bazıları şifresiz bağlantıyı tamamen kapatan bir "yalnız HTTPS" kipi sunar.

İkinci kural, sertifika uyarılarını asla geçmemektir. Bir sertifika uyarısı, tarayıcının karşısındaki sunucunun kimliğini doğrulayamadığını söyler; bu ya bir yapılandırma hatasıdır ya da biri araya girmektedir ve kullanıcı ikisini ayırt edemez. Nilüfer Hanım'ın yaptığı gibi, uyarı çıktığında durmak ve o ağdan o siteye girmemek doğru olandır.

Üçüncü kural, kilidi bir güven işareti olarak değil, bir asgari koşul olarak görmektir. Kilit olmadan hassas bilgi yazılmaz; ama kilit olması, sitenin gerçek olduğunu göstermez. Sitenin gerçekliğini adres çubuğundaki alan adının tamamı söyler ve en güvenilir yol, önemli sitelere e-postadaki bağlantılardan değil, yer imlerinden ya da adresi kendin yazarak girmektir. Benzer alan adlarını ve oltalama sayfalarını Seviye 1'de ayrıntılı işleyeceğiz.

Siteyi yapanlar için kural, bütün sayfaları ve alt alan adlarını şifreli sunmak, sertifikaların süresini otomatik yenilemeyle takip etmek ve HSTS ile tarayıcıya şifresiz bağlantıyı hiç denememesini söylemektir. Selin'in ekibinin unutulmuş alt alan adı, bu kuralların neden bütün alan adlarını kapsaması gerektiğini gösterdi.

Uygulama

Bu uygulamada kendi tarayıcında bir sitenin sertifikasını inceleyecek ve tarayıcının sertifika uyarılarının nasıl göründüğünü güvenli bir test sayfasında göreceksin.

Sertifikayı veren kuruluşun adı sana bir şey ifade etmeyebilir ve bu normaldir. Önemli olan, tarayıcının bu kontrolü senin yerine her bağlantıda yaptığını ve sorun gördüğünde uyardığını bilmektir.

Defter: İncelediğin sertifikanın alan adı, veren kuruluş ve bitiş tarihi; test sitesinde gördüğün uyarının kısa tarifi. Kendine bir kural olarak acil durum sayfasına: sertifika uyarısı çıkarsa devam etme, önemli sitelere yer iminden gir. Tarayıcının yalnız HTTPS kipinin durumu envantere.

Hata köşesi

Etik ve sınırlar

Bu derste bir saldırının, ortadaki adam saldırısının, nasıl çalıştığını kavram düzeyinde gördün; amaç onu tanımak ve sertifika uyarılarının neden önemli olduğunu anlamaktır. Bir ağda başkalarının trafiğinin arasına girmeye çalışmak, sahte sertifikalarla başkalarının bağlantılarını okumak ya da bir kurum ağında kullanıcıların şifreli trafiğini incelemek, ağın ve kullanıcıların açık yetkisi olmadan yapıldığında bilişim suçları ve haberleşmenin gizliliği kapsamında ciddi hukuki sonuçlar doğurur. Bazı kurumlar, güvenlik amacıyla kendi cihazlarında şifreli trafiği inceleyen sistemler kullanır; bu ancak kurumun cihazlarında, açık bir politikayla ve çalışanlara bildirilerek yapılır. Bu uygulamada kullandığın test sitesi, tarayıcı geliştiricilerinin herkesin kullanması için hazırladığı bir öğrenme aracıdır.

Kapanış

1. HTTPS, HTTP'yi TLS ile kurulan şifreli bir kanaldan taşır ve gizlilik, bütünlük ve sunucunun alan adına sahip olduğunun doğrulanmasını sağlar; sertifika bu doğrulamanın belgesidir.
2. Kilit simgesi bağlantının şifreli olduğunu gösterir, sitenin güvenilir olduğunu değil; neredeyse bütün oltalama siteleri de HTTPS kullanır ve sitenin gerçekliğini adres çubuğundaki alan adının tamamı söyler.
3. Şifresiz sayfaya hassas bilgi yazılmaz, sertifika uyarıları geçilmez, önemli sitelere yer iminden girilir; siteler ise bütün alan adlarını şifreli sunar ve HSTS ile tarayıcıya şifresiz bağlantıyı yasaklar.

Üç soru

1. Kıdemli çalışanın açtığı sahte giriş sayfası neden kilit simgesi gösterebiliyordu?
2. Şifreleme tek başına ortadaki adam saldırısını neden önleyemez ve onu ne önler?
3. Nilüfer Hanım kafede sertifika uyarısıyla karşılaştığında neden devam etmemesi doğruydu?

Yanıtlar

1. Saldırgan resmî alan adına benzeyen bir alan adı almış ve o alan adı için geçerli bir sertifika edinmişti; sertifika yalnız alan adının sahibi olmayı kanıtlamayı gerektiriyordu. Tarayıcı bağlantının şifreli olduğunu ve sunucunun o benzer alan adının sahibi olduğunu doğru biçimde doğruladı, bu yüzden kilidi gösterdi. Kilidin bilemeyeceği şey, çalışanın aslında başka bir alan adına gitmek istediğiydi.
2. Araya giren kişi her iki tarafla ayrı ayrı şifreli bağlantı kurabilir; şifre bu iki bağlantıyı da korur ama aradaki kişi her şeyi okur. Önleyen şey kimlik doğrulamadır: tarayıcı sunucunun sertifikasını doğrular ve araya girenin o alan adı için geçerli bir sertifikası olmadığı için uyarı verir.
3. Uyarı, tarayıcının karşısındaki sunucunun kimliğini doğrulayamadığını söylüyordu. Bu, kafenin ağında birinin araya girmesinden de, ağın bir giriş sayfasına yönlendirmesinden de kaynaklanabilirdi ve Nilüfer Hanım ikisini ayırt edemezdi. Uyarıyı geçseydi, araya giren biri varsa girdiği her bilgi ona açılacaktı; durmak ve o ağdan o siteye girmemek doğru davranıştı.

Sonraki derse köprü

Bu dersin açılışında sahte sayfanın bağlantısı bir e-postayla gelmişti ve gönderen, bir kamu hizmetinin adını taşıyordu. Bir e-postanın göndereni nasıl bu kadar kolay taklit edilebiliyor? Sıradaki ders e-postanın nasıl iletildiğini anlatıyor: gönderen sunucudan gelen kutusuna yolculuğu ve göndereni taklit etmenin neden bu kadar kolay olduğunu.