TLS 1.2 Öncesi Protokollerin Güvenlik Açıkları ve TLS 1.2/1.3 Önemi

Direnc Onen

İnternet üzerinden yapılan iletişimlerin güvenliği, günümüzde büyük önem taşımaktadır. Veri gizliliği, bütünlüğü ve kimlik doğrulama gibi konularda kullanılan güvenlik protokolleri, bu güvenliğin temelini oluşturur. Transport Layer Security (TLS) protokolü, bu protokoller arasında en yaygın kullanılanıdır. Ancak, TLS 1.2 sürümünden önce kullanılan protokoller, çeşitli güvenlik açıkları nedeniyle günümüzün güvenlik standartlarına uygun olmaktan çıkmıştır.

TLS 1.2 Öncesi Protokollerin Güvenlik Açıkları

TLS 1.0 ve TLS 1.1 gibi eski protokoller, aşağıdaki gibi ciddi güvenlik açıklarına sahipti:

• Zayıf Şifreleme Algoritmaları: RC4 gibi kırılması kolay şifreleme algoritmalarının kullanılması, saldırganların şifrelenmiş trafiği çözmelerine olanak tanıyordu.

• Kriptografik Zayıflıklar: Diffie-Hellman anahtar değişimi gibi eski kriptografik mekanizmalar, saldırılara karşı daha savunmasızdı.

• Padding Oracle Saldırıları: POODLE ve BEAST gibi saldırılar, şifrelenmiş verilerin bir kısmını ortaya çıkarmayı mümkün kılıyordu.

• Man-in-the-Middle Saldırıları: Güvenli olmayan anahtar paylaşımı ve sertifika doğrulama mekanizmaları, saldırganların iletişimi dinleyerek veya manipüle ederek veri çalmasına izin veriyordu.

TLS 1.2'nin Getirdiği İyileştirmeler

TLS 1.2, eski protokollerin güvenlik açıklarını gidermek için birçok önemli iyileştirme getirdi:

• Daha Güçlü Şifreleme Algoritmaları: AES gibi daha güvenli şifreleme algoritmalarının zorunlu hale getirilmesi.

• Gelişmiş Anahtar Değişimi Mekanizmaları: Daha güvenli anahtar değişim protokollerinin kullanılması.

• Padding Oracle Saldırılarına Karşı Koruma: Padding oracle saldırılarını önlemek için yeni mekanizmaların eklenmesi.

• Zorunlu Sertifika Doğrulama: Sertifika doğrulamasının zorunlu hale getirilmesi.

TLS 1.2'nin Önemi

TLS 1.2'nin yaygın olarak benimsenmesi, siber güvenlik için kritik öneme sahiptir. Bu protokol, aşağıdaki faydaları sağlar:

• Veri Gizliliği: Şifrelenmiş veri trafiği, yetkisiz erişime karşı korunur.

• Veri Bütünlüğü: Verilerin değiştirilmeden alıcıya ulaşması sağlanır.

• Kimlik Doğrulama: İletişimin gerçekleşen tarafların kimliklerinin doğrulanması sağlanır.

• Sektör Standartlarına Uygunluk: PCI DSS, HIPAA gibi sektör standartları, TLS 1.2 kullanımını zorunlu kılar.

TLS 1.3 ve Gelecek

TLS 1.3, TLS 1.2'ye göre daha da gelişmiş güvenlik özellikleri ve performans iyileştirmeleri sunar. Kvant bilgisayarların gelecekteki etkileri göz önüne alındığında, post-quantum kriptografi gibi yeni teknolojiler üzerinde çalışmalar devam etmektedir.

Kurumsal Çevrelerde Uygulama Zorlukları

Büyük kurumsal ortamlarda TLS 1.2'ye geçiş, eski sistemlerle uyumluluk sorunları ve geniş çaplı bir yapılandırma gerektirebilir. Bu nedenle, geçiş sürecinin dikkatli planlanması ve yönetilmesi önemlidir.

Aşağıdaki powershell scripti ile farklı TLS versiyonlarında istek göndermeniz mümkündür. Kendi web sunucularınıza bu scripti aracılığı ile bağlantı testleri yaparak eski TLS sürümlerine cevap verip vermediğini görebilirsiniz.

TLS 1.0: [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls

TLS 1.1: [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls11

TLS 1.2: [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

TLS 1.3: [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls13

,[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls

$url = "https://google.com"

try {
    $response = Invoke-WebRequest -Uri $url
    Write-Host "Başarılı bağlantı: $($response.StatusCode)"
} catch {
    Write-Host "Bağlantı başarısız: $($_.Exception.Message)"
}

TLS 1.2 ve TLS 1.3 ü aktif hale getirme

Eski SSL ve TLS sürümlerini kapatmak ve yenilerini aktif hale getirmek için bir dizi registry anahtarının güncelleştirilmesi gerekmektedir. Registry de değişikliklerin manuel yapılması yerine IISCrypto aracı gerekli sıkılaştırmaları tek bir komutla yapabilmenizi sağlar. Grafik arayüzü üzerinden yapabileceğiniz gibi, SCCM veya toplu komut gönderebilecek başka yöntemlerle, tüm sunucu ve istemcilerinize sessiz / katılımsız bir şekilde gönderebilirsiniz.

IIS Crypto GUI

IISCrypto resmi sayfasından GUI ve CLI halini indirebilirsiniz.

Strict Şablonu

Strict şablonu uygun sıkılaştırma ayarlarının sunucu üzerinde uygulanmasını sağlar. Strict şablonu seçildikten sonra Apply düğmesine basılarak ayarlar yapılır. Sunucu restart edildikten sonra yeni ayarlar geçerli olacaktır.

Strict Şablonu uygulandıktan sonra

Yine bu ekran üzerinden farklı seçimler yapılarak da yapılandırmalar uygulanabilir.

IIS Crypto CLI

IISCrypto CLI dosyası ile SCCM veya farklı uygulamalar kullanarak merkezi dağıtım ve yapılandırma sağlayabilirsiniz.

Aşağıdaki komutla unattended bir şekilde strict şablonu uygulanabilir.

IISCryptoCli.exe /template strict

Komutun uygulanıp uygulanmadığı da aşağıdaki registry anahtarları kontrol edilebilir.

• SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client

  • Enabled: 0

• SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server

  • Enabled: 0

• SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server

  • Enabled: 0

• SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server

  • Enabled: 0

• SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Client

  • Enabled: 0

• SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server

  • Enabled: 0