Web Siteleri SSL Sertifikalarını Nasıl Alır

Sertifika güven sistemi hiyerarşiktir. Kök CA'lar kendileri tarafından imzalanır ve işletim sistemlerine ve tarayıcılara gömülüdür. Ara CA'lar kök CA'lar tarafından imzalanır ve sertifikaları fiilen bunlar düzenler.

Bu iki katmanlı yapı, kök CA'ların özel anahtarlarını çevrimdışı ve ağdan fiziksel olarak yalıtılmış durumda tutar. Bir ara CA ele geçirilirse, kök CA güven çıpalarında değişiklik yapılması gerekmeden bu CA'nın sertifikaları iptal edilebilir.

Bir DV sertifikası edinmek için başvuru sahibinin alan adını denetlediğini kanıtlaması gerekir. Üç standart ACME doğrulama sınaması vardır: DNS sınaması (alan adının DNS'ine bir TXT kaydı ekleme), HTTP sınaması (belirli bir URL'de belirli bir dosyayı bulundurma) ve TLS-ALPN sınaması (TLS anlaşması sırasında belirli bir sertifikayı sunma).

Bu üç yöntemin tümü, başvuru sahibinin alan adının DNS'ini veya bu alan adındaki web sunucusunu denetlediğini doğrular. Böylece bir kişinin denetlemediği bir alan adı için sertifika edinmesi önlenir.

ACME (Otomatik Sertifika Yönetimi Ortamı, RFC 8555), Let's Encrypt tarafından kullanılan ve modern CA'ların çoğu tarafından desteklenen protokoldür. Doğrulama sınaması, doğrulama, düzenleme ve yenileme aşamalarından oluşan sertifikanın tüm yaşam döngüsünü otomatikleştirir.

ACME, web sunucularının insan müdahalesi olmadan sertifikaları otomatik olarak edinip yenilemesini sağlar. Certbot, acme.sh ve çoğu web sunucusunda yerleşik ACME istemcileri bulunur; bu da sertifika yönetimini neredeyse bakım gerektirmeyecek hâle getirir.

Sertifika İmzalama İsteği (CSR), başvuru sahibinin açık anahtarını ve varlıkla ilgili bilgileri (alan adı, kuruluş, ülke) içeren bir veri bloğudur. Sahip olunduğunu kanıtlamak için karşılık gelen özel anahtarla imzalanır.

CA, CSR'yi doğrular, alan adı denetimi kanıtını doğrular ve CSR'deki açık anahtarı doğrulanmış alan adıyla ilişkilendiren bir sertifika düzenler. Özel anahtar sunucudan hiçbir zaman ayrılmaz.

Bir X.509 sertifikası şunları içerir: Konu (sertifikayla doğrulanan kimlik), Konu Alternatif Adları (SAN'lar, ek alan adları), Veren (sertifikayı imzalayan CA), Geçerlilik dönemi (başlangıç ve bitiş tarihleri), Açık Anahtar ve algoritma ile CA'nın dijital imzası.

Modern sertifikalar, alan adları için eski Ortak Ad alanı yerine SAN'ları kullanır. Bir sertifika, SAN alanında birden çok alan adı listeleyebilir; böylece tek bir sertifika birbiriyle ilişkili birkaç alan adını kapsayabilir.

Internet Security Research Group tarafından 2016'da başlatılan Let's Encrypt, tamamen otomatik ACME doğrulama sınamalarını kullanarak ücretsiz DV sertifikaları düzenler. Üç milyardan fazla sertifika düzenleyerek HTTPS kullanımının hızla yaygınlaşmasını sağlamıştır.

Let's Encrypt sertifikaları 90 gün geçerlidir; bu süre ticari CA sertifikalarından daha kısadır ve sertifikaların düzenli olarak yenilenmesi gerekir. Kısa geçerlilik süresi bilinçli olarak seçilmiştir: bir sertifika ele geçirilirse etkilenme süresini sınırlar ve otomasyonu teşvik eder.

DigiCert, Sectigo ve GlobalSign gibi ticari CA'lar sertifikalar için ücret alır, ancak ek hizmetler sunar: kurumsal kimlik doğrulamasıyla OV ve EV doğrulaması, çok yıllık sertifikalar, hatalı düzenlemelere karşı garanti kapsamı ve müşteri desteği.

OV veya EV sertifikalarına ihtiyaç duyan, daha uzun geçerlilik süreleri talep eden ya da ticari garantilere ve SLA'lara gereksinim duyan kuruluşlar için ticari CA'lar, ücretsiz DV sertifikası sağlayıcılarının sunmadığı bir değer sağlar.

Bir joker sertifika, bir alan adını ve tüm doğrudan alt alan adlarını kapsar. *.example.com için bir sertifika mail.example.com, www.example.com ve api.example.com alan adlarını kapsar, ancak sub.mail.example.com alan adını kapsamaz.

Joker sertifikalar, çok sayıda alt alan adına sahip kuruluşlar için kullanışlıdır. Ancak aynı özel anahtar tüm alt alan adlarını korur; bu nedenle bir sunucunun ele geçirilmesi, kapsanan tüm alt alan adlarının sertifikasının da ele geçirilmesine yol açar.

Konu Alternatif Adları (SAN) sertifikası olarak da adlandırılan çok alan adlı veya UCC sertifikası, birden çok alan adını açıkça listeler. Jokerlerden farklı olarak, bir kalıp yerine adı belirtilen belirli alan adlarını kapsar.

SAN sertifikaları genellikle birbiriyle ilişkili varlıklar için kullanılır: bir sertifika example.com, www.example.com, app.example.com ve example.io alan adlarını kapsayabilir. Her alan adı için ayrı doğrulama gerekir, ancak tek bir sertifika bunların tümünü kapsar.

Sertifika sabitleme, bir istemcinin belirli bir alan adı için yalnızca belirli sertifikaları veya açık anahtarları kabul etmesini ve tanımadığı CA imzalı sertifikaları yok saymasını sağlar. Bu, sahte CA'lar tarafından düzenlenen sertifikaların kullanıldığı saldırıları önler.

HTTP Açık Anahtar Sabitleme (HPKP), sertifika sabitleme için kullanılan bir tarayıcı mekanizmasıydı. Yanlış yapılandırma kullanıcıların bir siteye erişimini kalıcı olarak engelleyebildiği için 2019'a kadar kullanımdan kaldırıldı ve tarayıcılardan çıkarıldı. Sertifika Şeffaflığı, sertifika kötüye kullanımını tespit etmek için artık tercih edilen mekanizmadır.

Bir sertifika ele geçirildiğinde CA, sertifikayı geçerlilik süresi dolmadan iptal edebilir. Sertifika İptal Listesi (CRL), istemcilerin indirip denetleyebileceği iptal edilmiş sertifikaların seri numaralarının listesidir.

OCSP (Çevrimiçi Sertifika Durumu Protokolü), sertifika başına gerçek zamanlı iptal denetimleri yapılmasını sağlar. OCSP ekleme, gizliliği ve performansı iyileştirir: sunucu imzalı bir OCSP yanıtını önceden alır ve TLS el sıkışmasına ekler; böylece tarayıcının CA ile iletişim kurması gerekmez.

Sertifika doğrulama türleri hakkındaki bilginizi sınayın.

Sertifikalar, kök CA'ların uç varlık sertifikalarını düzenleyen ara CA'ları imzaladığı bir CA hiyerarşisi üzerinden düzenlenir. DV sertifikaları yalnızca alan adı denetimini doğrular; OV ve EV, kuruluşun kimliğini doğrular.

ACME, sertifika düzenleme ve yenileme işlemlerini otomatikleştirir. Let's Encrypt, 90 gün geçerli ücretsiz DV sertifikaları düzenler. Joker sertifikalar tüm doğrudan alt alan adlarını kapsar. Sertifika Şeffaflığı kayıtları, düzenlenen tüm sertifikalar için denetlenebilir kayıtlar sağlar.