SSL Sertifikası Nedir, Neden Önemlidir?

Bir arkadaşınızla konuşurken, hemen ardınızda hiç tanımadığınız birisinin sizi dinlemesi nasıl hissettirirdi? Peki, ailenizden birisi ile mesajlaşırken, bu yazışmaları okuyan 3. bir kişinin olma ihtimalini düşünebiliyor musunuz? Bu sorularla giriş yapmamın sebebi, konunun ehemmiyetinin ne kadar yüksek olduğunun farkına varmanızı istediğimdendir. Ülkemizin ve dünya genelinin her gün, her saat hatta her dakika ve saniye internet ile bağlantısı olduğunu söyleyebiliriz. 1 dakika içerisinde milyonlarca web sitesi ziyaret edilmektedir. Peki, bu web sitelerinin güvenli olduğundan hatta bizim de verilerimizi güvenle saklayacağından emin olabilir miyiz? Elbette tam anlamıyla bir güven duymak mantıksız olacaktır. Ancak bununla birlikte hangi sitelerin daha yüksek güvenlik önlemleri aldığını da tespit edebiliriz. Böylece buna göre aksiyon alıp, ilgili web sayfasında kalıp-kalmayacağımızın kararını verebiliriz.

Bu kararımızı neye göre veya hangi kriterlere istinaden almalıyız? Web sitelerinin güvenliğini sağlamada ve iletişimin şifrelemesinde kullanılan, güvenliğin temel yapı taşı olarak nitelendirebileceğimiz bir olgu var; SSL Sertifikaları. Öyle ki, bu protokoller sayesinde hem site sahipleri/yöneticileri hem de ziyaretçilerin verileri güvence altına alınmaktadır. Tabii tam anlamıyla bir muhafazadan söz etmek için hangi tür sertifikanın da kullanıldığı önemlidir. Detaylarına ilerleyen satırlarda değineceğim. Fakat öncesinde SSL sertifikası nedir, ne işe yarar?  Sorularının yanıtını keşfedelim.

SSL Sertifikası Nedir?

Secure Sockets Layers, Türkçe karşılığı ile “Güvenli Yuva Katmanı” anlamına gelmektedir. Web tarayıcısı ve sunucu arasında güvenlik protokolü olarak çalışır. Böylece kullandığınız web sitesi üzerinde yaptığınız işlemler, şifrelenerek sunucu tarafına gönderilir. Bu sayede ne mi olur? Hadi bunu bir örnek ile ele alarak, zihnimizde canlandıralım.

Bir web sitesini ziyaret ettiniz ve bu site SSL sertifikası barındırmıyor. Siz de bu internet sayfasında bir kullanıcı hesabı oluşturmak istiyorsunuz. Bunun için de adınız, soyadınız, mailiniz ve cep telefonu numaranız ile kayıt oldunuz. O an da sitenin paketlerini ve trafiğini izleyen biri(leri) sizin de bilgilerinize erişmiş olacaktır… SSL sertifikası olmayan bir internet sitesini, kapısı kapalı ancak tüm pencereleri daima açık olan müstakil bir ev gibi düşünebilirsiniz. Her ne kadar bir ev gibi görünse de, aslında dışarıdan gelebilecek olan tehditlere her zaman açıktır.

Peki, internet sitelerinin SSL sertifikasına sahip olduğunu nasıl anlayacağız? Bunun yanıtı çok basit. Ziyaret ettiğiniz sitede, tarayıcınızın URL kısmında asma kilit ikonunu görüyor musunuz? Cevabınız evet ise orada SSL sertifikası kullanılıyordur. Yanıtınız hayır ise kullanılmıyordur. Dolayısıyla bariz bir şekilde güvenlik zafiyetinin olduğundan ve verilerinizin tehlike altına girebileceğinden söz edebiliriz. Öyleyse bu konuya azami hassasiyeti göstermeliyiz.

SSL Sertifikası Ne İşe Yarar?

Güvenlik… Dijitalleşen dünya ve gelişen teknoloji ile beraber “internet güvenliği” inanılmaz derecede önem kazandı. Global anlamda güvenlik zafiyetleri sebebiyle bunun yıllık zararı onlarca milyar dolara tekabül etmektedir… Ülkemizde de durum farklı değil. Büyük kurumların, markaların hacklenmelerine şahit oluyoruz. Elbette bunun altında yatan sebep, SSL sertifikası kullanmamaktan yana değildir. Fakat güvenlik ve bilinçli internet kullanımına dair kesin ve net uygulamalar yapılmalıdır. Tam da bu noktada Google, yakın geçmişte SSL sertifikası kullanan web sitelerini arama sonuçları sıralamasında daha üst sıralara taşımaktadır. Amaç, güvenli internet kullanımını teşvik etmek ve kullanıcılarının verilerini muhafaza etmektir.

Peki, tüm bunların yanı sıra SSL sertifikası ne işe yarar? Öncelikle bilinmesi gerekir ki, SSL sertifikası tıpkı bir tanımlama etiketi gibidir. Eğer bir sitede SSL bulunuyorsa, o internet sitesi aynı zamanda tescillenmiş ve kimliği doğrulanmış anlamına da gelmektedir. Bireysel blog siteleri için de çok büyük bir öneme sahip olsa da, kurumsal anlamda olmazsa olmazlardandır. Çünkü bir marka, kurumsal olduğunu iddia ediyorsa, bunun için gerekli aksiyonları da alması beklenir. Tabii bir de söz konusu kişisel verilerin güvenliği ise muhakkak buna yönelik faaliyetler de yapılmalıdır. Aksi durumlarda, hem arama motorlarının nezdinde hem de kullanıcıların gözünde pek de kurumsal olmayan hatta profesyonel dahi sayılmayan bir konumda olacaklardır.

Bununla birlikte web sitesi içerisinde kullanıcıların input(giriş) yapabilecekleri her alanında şifrelenerek muhafaza edilmesi gerekir. Bu da elbette ki çok mühim bir konudur. Neden mi? Bunu birkaç madde halinde ve sebep-sonuç ilişkisine bağlayarak açıklayabilirim.

• İlgili sitenin herhangi bir içeriğine yorum yaptıysanız; IP adresiniz, girmiş olduğunuz mail adresi, isminiz vb. gibi bilgiler sitenin veri tabanında yer depolar. Eğer güvenli yuva katmanı bulunmuyorsa veya basit düzeyde bir koruma mevcutsa, bu veriler 3. kişiler tarafından ele geçirilebilir.
• Kredi/banka kartı bilgilerinizi dolduracağınız bir alan varsa, yine aynı durum söz konusu olacaktır.
• SSL sertifikası kullanılmayan bir internet sitesinde üyeliğiniz varsa, giriş bilgileriniz dahil olmak üzere kayıt verilerinizin tamamı tehlike altında olacaktır.

SSL Sertifikası Türleri Nelerdir?

Güvenlik düzeyine ve sunduğu özellikler neticesinde farklı SSL sertifikaları bulunmaktadır. Listelemek gerekirse;

1. Wildcard SSL Sertifikaları
2. Genişletilmiş Doğrulama Sertifikaları – EV SSL
3. Kuruluş Doğrulama Sertifikaları – OV SSL
4. Etki Alanı Doğrulama Sertifikaları – DV SSL
5. Çok Etki Alanlı SSL Sertifikaları – MDC

Her bir SSL sertifikası türünü ayrı ayrı ele alacağım. Siz de eğer bir web sitesi sahibi iseniz veya ilerleyen süreçte açmayı düşünüyorsanız, bu konuda bilgi sahibi olabilirsiniz. Keza siber güvenliğe ilgisi olanların da, bunları iyi bilmesi gerekir.

Wildcard SSL Sertifikaları

Daha önce şu şekilde URL’lere denk geldiniz mi; forum.siteismi.com gibi? Aslolan alan adı; siteismi.com iken bunun önüne gelen ekler, alt etki alanlarını ifade etmektedir. Ve aynı zamanda birden fazla platform anlamına gelir. Örneğin, sizin temel etki alanınız kurumsal bir web sayfası. Öte yandan blog.sirketismi.com şeklinde bir alt etki alanınız olabilir ve burada da blog yazıları paylaşabilirsiniz.

Dolayısıyla birden fazla web sayfası anlamına da gelmektedir. Peki, tek bir SSL sertifikası ile tüm bu etki alanlarını güvenli hale getirmek mümkün mü? Normal şartlarda, her bir etki alanı için ayrı ayrı SSL sertifikası satın almanız gerekir. Ancak! Wildcard türü ile tek bir SSL sertifikası temel etki alanınız dahil olmak üzere sınırsız sayıda(sunucunuzun özelliklerine bağıl olarak değişkenlik gösterebilir.) alt etki alanını güvence altına alabilirsiniz. Eğer zihninizde bu denli geniş çaplı projeler varsa, bu türü tercih etmenizde fayda vardır.

Genişletilmiş Doğrulama Sertifikaları – EV SSL

Bu yazıyı okuyanlar arasında daha önce internet üzerinden alışveriş yapmayanımız var mı? Kuvvetle muhtemel tüm okuyucularım E-Ticaret sitelerini kullanıyordur. Özellikle pandeminin de ortaya çıkışı ile beraber elektronik alışveriş, küresel alanda rekorlar kırmaktadır. Hatta birçok sektör de, sitelerini ve uygulamalarını buna entegre etmiştir.

Bu denli hayatımızı kolaylaştıran bir sistemin güvenliği, diğer sitelere kıyasla çok daha fazla olmalıdır. Çünkü burada var olan bilgiler; kullanıcıların TC kimlik numaraları(fatura kesmek için) dahil olmak üzere adres ve telefon numaralarına kadar hassas olan verilerdir. Dolayısıyla dolandırıcılık ve kötü niyetli emellerin önüne geçmek adına en geniş kapsamlı SSL sertifikası türü kullanılmalıdır. Bunu karşılayan SSL sertifikası türü ise, EV SSL’lerdir. Tabii doğal olarak diğer SSL sertifikası türlerine nazaran çok daha pahalı bir hizmet bedeli sunmaktadır.

Kuruluş Doğrulama Sertifikaları – OV SSL

Karşıladığı çözümler ile EV SSL türüne benzerlik göstermektedir. İlgili site, ister bireysel kullanımda olsun, ister kurumsal kullanım da, itibarını sağlamak ve kuruluşun resmiyeti açısından OV SSL türü kullanılabilmektedir. Bütçe bakımından ise EV SSL’lerden sonra gelen 2. en pahalı sertifikalardır. Bununla birlikte site sahibinin bu SSL sertifikasına sahip olması için bir dizi süreçten geçmesi ve gerçek kişi olduğunu doğrulaması gerekmektedir.

Etki Alanı Doğrulama Sertifikaları – DV SSL

Bu sertifika türü, satın alması ve uygulaması en kolay olan SSL türüdür diyebiliriz. Buna bağlı olarak doğrulama süreci de, diğerlerine kıyasla çok daha basittir. Herhangi bir teferruatı bulunmaz. Öyle ki, bir telefon onay kodu ya da mail aracılığı ile çok kısa bir zaman diliminde temin edilebilmektedir. Özellikle blog sitesi sahipleri ve firma tanıtım sitelerinin sıklıkla tercih ettiği türdür.

Tabii durum, hem ekonomik anlamda daha hesaplıyken ve hem de sunulan nitelikler daha temel düzeydeyken, sunulan güvenlikte daha baz seviyededir. SSL sertifikaları 40 bit şifrelemeden 1024 bit şifrelemeye değin metotlar kullanılmaktadır. Dolayısıyla şifreleme için kullanılan bit arttıkça bunun için tanımlanan anahtar sayısı da artmaktadır. Doğal olarak kötü niyetli kişilerin site içerisindeki verileri ele geçirme olasılığı da gitgide düşmektedir.

Çok Etki Alanlı SSL Sertifikaları – MDC

SSL sertifikası türleri listesinde ilk sırada bahsettiğim Wildcard’ın özelliklerini hatırlıyor musunuz? Çok etki alanlı SSL sertifikaları da benzer biçimdedir. Fakat! Bariz bir farkla Wildcard’dan ayrılmaktadır. MDC sertifikalar, alt etki alanlarını desteklemez. Bunun yerine tanımlayacağınız temel etki alanlarını baz alarak SSL kurumları yapılmaktadır. Örnekle açıklamak gerekirse, ben kendi web sitem; dogukankaradag.com ve dogukan.net için çok etki alanlı SSL sertifikası türüne başvurabilirim. Ancak blog.dogukan.net için ayrı bir SSL türü tercih etmem gerekir.

SSL Sertifikası Nasıl Alınır?

Bu sorunun yanıtını genel itibari ile manuel yapmaktan ziyade sizin yerinize hosting sağlayıcınız süreci üstlenmektedir. Tabii eğer hosting sağlayıcınızın buna yetkisi varsa… Bunun için ilgili firmaları araştırabilir ve bilgi sahibi olabilirsiniz(ör: Güzel Hosting, Turhost, İsim Tescil, GoDaddy gibi…). Bütçenize ve planlarınıza uygun en doğru tercihi bu şekilde yapabilirsiniz.

Bununla birlikte SSL sertifikası alırken, eğer üst düzey bir seçim yapacaksanız(EV SSL gibi) sizin de manuel olarak üstlenmeniz gereken bazı aşamalar olabilir. Örnek olarak, telefon aramaları, onay mailleri, vergi levhası, faks vb. gibi… Bugüne kadar internet sitelerinin güvenliğine, daha doğrusu SSL sertifikalarının var olup olmadığına dikkat ediyor muydunuz? Peki, bundan sonraki süreçte nasıl bir aksiyon almayı planlıyorsunuz? Yorumlar kısmından görüş ve düşüncelerinizi bekliyorum.