Merhaba arkadaşlar, bu yazımızda HTTPS nedir sorusuna cevap arayacağız. Umarım faydalı bir yazı olur.
HTTPS nedir?
The Hyper Text Transfer Protocol, web iletişimini mümkün kılan önemli bir teknolojidir. 1990 yılında tanıtıldı ve o zamandan beri web sayfalarını görüntülemek için kullanıldı. Ancak, istemci ile web sunucusu arasında tam bir gizlilik sağlayan bir güvenlikten yoksundu. Güvenlik açığını gidermek için ise elimizde artık HTTPS var. İnternetin, çevrimiçi işlemlerin ve hassas bilgilerin gönderilmesi / alınmasının güvenli bir şekilde gerçekleşebileceği çok daha güvenli bir yere dönüşmesine yol açmıştır. Peki https nedir?
Web’in büyük bir kısmı artık güvenli iletişim için HTTPS kullanıyor. Ama tam olarak nedir? Bu blogda ortaya çıkaracağımız şey budur.
HTTPS Güvenliği
HTTPS’deki S, güvenlik anlamına gelir. Verileri bir uçtan diğerine koruyan şifrelemenin varlığını temsil eder. Kesin olmak gerekirse, TLS şifrelemesinin kullanımına işaret eder.
Taşıma Katmanı Güvenliği (TLS), web siteleri tarafından kullanıcı ile web sunucusu arasındaki ileri geri iletişimi şifrelemek için kullanılan bir protokoldür. Güvenli Yuva Katmanı’nı (SSL) duymuş olabilirsiniz; TLS’nin öncülüdür ve hala en yaygın kullanılan terimdir. Web bugün TLS şifrelemesini kullanıyor, ancak SSL daha popüler bir terim olmaya devam ediyor. Bir web sitesinde SSL şifrelemesini duyduğunuzda, aslında bu TLS protokolüdür.
SSL vs. TLS
Temelde, hem SSL hem de TLS verileri şifreler, ancak farklılıklar güvenlik ve işlevsellikte yatmaktadır. SSL 1990’larda Netscape tarafından tanıtıldı. TLS, bu güvenlik açıklarını iyileştiren bir halef olarak sunulduğunda, güvenlik açıkları onu erken emekliliğe itti. Açıklara karşı daha iyi güvenliğe sahip olmanın yanı sıra TLS, gelişmiş güvenliği için gerekli olan daha geniş bir şifre yelpazesini destekler. TLS 1.3, protokolün güncel sürümüdür.
TLS yalnızca verileri şifrelemekle kalmaz; ayrıca web sunucusunun gerçekliğini ve verilerin bütünlüğünü doğrular. Web sunucusunun yasal olmasını ve aktarım sırasında verilerin değiştirilmemesini sağlar. İstemci ve web sunucusu, TLS anlaşması adı verilen işlemi gerçekleştirir. Kullanılacak protokol ve web sunucusunun TLS sertifikası dahil olmak üzere değişimleri içeriyor.
HTTPS Nasıl Çalışır?
Web sunucusu, bir Sertifika Yetkilileri (CA) tarafından verilen dijital sertifikayı göndererek kimliğini kanıtlar. Bu yetkililer, web tarayıcısının güvenebileceği kamu kuruluşları olarak hizmet eder. CloudFare, DigiCert, Let’s Encrypt, Global Sign, web sitelerine TLS sertifikaları veren birkaç otoriteden bazılarıdır. Ayrıca, en yaygın olanı Etki Alanı Doğrulaması (DV) olmak üzere farklı düzeylerde sertifika vardır.
Sertifika, istemcinin verileri şifrelemek ve göndermek için kullanacağı web sunucusunun genel anahtarını içerir. Web sunucusu, özel anahtarıyla verilerin şifresini çözecektir. Biz bunu Asimetrik Şifreleme olarak biliyoruz.
Asimetrik Şifreleme, bir genel anahtar ve bir özel anahtar içerir. İkincisi, yalnızca web sunucusunun sakladığı bir sırdır. İki anahtar matematiksel olarak ilişkilidir, bu nedenle özel anahtar kullanılarak şifre çözme mümkündür; istemcinin şifreleme verileri için yalnızca genel anahtara sahip olması gerekir.
Simetrik Şifrelemenin, hem şifreleme hem de şifre çözme için tek bir anahtarı vardır. HTTPS bir Asimetrik Şifreleme protokolüdür, ancak aynı zamanda Simetrik Şifreleme kullanır. Kimlik doğrulama ve oturum anahtarları işlendikten sonra, istemci ve web sunucusu daha hızlı iletişim için Simetrik Şifrelemeye başvuracaktır.
HTTPS bir Güven Göstergesidir
HTTPS ön ekini taşıyan web siteleri, kullanıcıya belirli bir düzeyde güven sağlar. Kullanıcıların günlük olarak kredi kartı kullanarak işlem yapmalarına izin veren e-ticaret siteleri, kişisel bilgilerin çalınmaması için bu tür bir güvenliği sağlamak zorundadır.
Şifrelenmemiş veri akışı, Man-in-the-Middle saldırılarına karşı savunmasızdır. Bir kullanıcının tarama deneyimini etkileyen bir istismar türüdür. Örneğin, saldırgan, istenen web sitesini açmak yerine, kullanıcıyı farklı bir web sitesine yönlendirebilir. Kimlik bilgilerini çalmak için tasarlanmış sahte bir Facebook oturum açma sayfası, bir saldırganın güvenlik yokluğundan yararlanabileceği birçok yoldan yalnızca biridir.
Günümüzde internetin çoğu HTTPS’yi yalnızca veri güvenliği sağladığı için değil, aynı zamanda arama motoru tercihleriyle de uyumlu olduğu için uyguladı. Google Arama, sıralamalar söz konusu olduğunda HTTPS özellikli web sitelerini büyük ölçüde tercih eder. Google Chrome ve Mozilla Firefox web tarayıcıları, şifreleme içermeyen web siteleri için “güvenli olmayan” bir bağlantı uyarısı görüntüler ve aynı durum eski SSL sertifikaları için de geçerlidir.
Uyarı, bir kullanıcının web sitesinden çıkması için yeterlidir. Kullanıcıların ilgisini çekmek isteyen herhangi bir web yöneticisi için ciddi bir endişe kaynağıdır.
Her zaman HTTPS’nin varlığına dikkat edin ve güvenli olmayan bir bağlantı üzerinden asla bilgi paylaşmayın. HTTPS’i web sitesi adresinin yanındaki URL çubuğunda bulunan küçük kilit simgesinde görebiliriz.
VPN, Güvenliği İyileştirmeye Nasıl Yardımcı Olur?
Şifreleme, bir VPN’in temel direğidir. HTTPS‘nin şifreleme içermesi durumunda VPN’in neden gerekli olduğunu merak edebilirsiniz.
HTTPS’nin web sitesinde nasıl yapılandırıldığına bağlı. HTTPS hala güvenlik açıklarına karşı hassastır – bu nedenle SSL kullanımdan kaldırıldı ve bu sayede internet güvenliğimiz daha da arttı. TLS, günümüzde web için her yerde bulunan şifreleme protokolüdür, ancak eski sürümler hala kullanımdadır, bu da web sitelerini istismarlara açık hale getirir.