TLS Sertifika Uyarıları ve Yapmanız Gerekenler

NET::ERR_CERT_DATE_INVALID, bir sertifikanın geçerlilik süresi sona erdiğinde görünür. Sertifikadaki "Geçerlilik Sonu" tarihi geçmiştir. Bu uyarı genellikle bir sunucu yönetimi hatasından kaynaklanır: yönetici sertifikayı yenilemeyi unutmuştur.

CA sertifikanın geçerliliğini artık garanti etmediği için süresi dolmuş bir sertifika hiçbir güvenlik güvencesi sağlamaz. Site hâlâ meşru site olabilir, ancak sertifika altyapısı işlevini yitirmiştir.

NET::ERR_CERT_AUTHORITY_INVALID, sertifikanın tarayıcının güvenilen kök sertifika deposunda bulunmayan bir CA tarafından imzalanması durumunda görünür. Bu durum kendinden imzalı sertifikalarda, kurum içi CA'lar tarafından düzenlenen sertifikalarda veya büyük kök programlarına dahil edilmeyen küçük CA'ların sertifikalarında görülür.

Tarayıcı kök programları (Mozilla, Google, Apple, Microsoft), güvenilen CA'ların kesin listelerini tutar. Bir CA'nın dahil edilebilmesi için kapsamlı denetim gerekliliklerini karşılaması gerekir. Dahil edilmeyen CA'ların sertifikaları bu uyarıyı tetikler.

NET::ERR_CERT_COMMON_NAME_INVALID, sertifikanın Konu veya SAN alanları tarayıcının adres çubuğundaki ana bilgisayar adıyla eşleşmediğinde görünür. Sertifika "router.example.com" derken "https://192.168.1.1" adresini ziyaret etmek bu uyarıyı tetikler.

Bu uyarı, yanlış yapılandırılmış bir sunucuya, meşru sertifikanın farklı bir sertifikayla değiştirildiği bir MITM saldırısına veya ana bilgisayar adı yerine IP adresiyle erişilen meşru bir siteye işaret edebilir.

Kendinden imzalı sertifikada veren ve konu aynıdır: sertifika yetkilisi sunucunun kendisidir. Tarayıcılar, üçüncü taraf doğrulaması sağlamadıkları için kendinden imzalı sertifikalara varsayılan olarak güvenmez.

Kendinden imzalı sertifikalar geliştirme ortamlarında, kurum içi araçlarda ve sınama süreçlerinde yaygın olarak kullanılır. Trafiği CA tarafından imzalanmış sertifikalar kadar iyi şifreler, ancak kimlik güvencesi sağlamaz.

CA sertifikayı geçerlilik süresi dolmadan geçersiz kıldığında iptal edilmiş sertifika uyarısı görünür. Bu genellikle özel anahtarın ele geçirilmesi, kuruluşun artık var olmaması veya sertifikanın hatalı düzenlenmesi durumlarında gerçekleşir.

İptal denetimi OCSP (Çevrimiçi Sertifika Durumu Protokolü) veya CRL (Sertifika İptal Listesi) üzerinden yapılır. Chrome, performans için CRLSets'i (önceden yüklenmiş iptal verilerini) kullanır ve yüksek değerli sertifikalar için bunu gerçek zamanlı OCSP ile destekler.

Sertifika uyarıları, sınırlı kurum içi ve geliştirme bağlamlarında genellikle atlanabilir: kendinden imzalı sertifikaya sahip kendi geliştirme sunucunuzda, herkese açık kök depoda bulunmayan bir şirket CA'sı kullanan kurum içi bir araçta veya IP adresinin cihazla eşleştiğini bildiğiniz bir ev yönlendiricisinde.

Bu durumlarda uyarı bir saldırıya değil, eksik bir CA'ya işaret eder. CA'yı güven deponuza ekleyebilir veya bu kurum içi bağlam için belirli sertifikayı kabul edebilirsiniz. Kararı ve gerekçesini belgeleyin.

Bankacılık, e-posta, sağlık portalları, devlet hizmetleri veya kimlik bilgileri ya da hassas bilgiler gireceğiniz herhangi bir site için sertifika uyarılarını asla atlamayın. Uyarı, etkin bir MITM saldırısına işaret ediyor olabilir.

Sertifika uyarılarının yalnızca yüzde birinin gerçek bir saldırıya işaret ettiği varsayılsa bile, hassas hizmetlerde uyarıyı atlamak kabul edilemez bir risk yaratır. Siteye erişememenin verdiği rahatsızlık, kimlik bilgilerinin çalınmasından veya mali dolandırıcılıktan çok daha hafiftir.

MITM saldırısı gerçekleştiren bir saldırgan, TLS bağlantınızı keser ve kendi sertifikasını sunar. Saldırganın sertifikasına tarayıcınız güvenmiyorsa bir uyarı alırsınız. Uyarı, güvenlik mekanizmasının doğru çalıştığının kanıtıdır (IS).

Kurumsal güvenlik duvarlarını kontrol eden veya ele geçirilmiş yönlendiricileri kullanan saldırganlar, bazen uyarıları tetiklemeden TLS denetimi gerçekleştirmek için kendi CA'larını sisteme ekler. Normalde güvendiğiniz sitelerde aniden sertifika uyarıları görmeye başlarsanız hemen araştırın.

Meşru herkese açık web sitelerinde beklenmedik sertifika uyarıları görürseniz bunları hemen bildirin. Google'a ait sitelerde Chrome'un geri bildirim düğmesini kullanın. Diğer siteler için site sahibiyle alternatif bir kanal (telefon veya farklı bir ağ) üzerinden iletişime geçin.

Sertifika Şeffaflığı kayıtları, herkesin alan adları için beklenmedik sertifikaları izlemesine olanak tanır. Facebook'un Sertifika Şeffaflığı İzleme hizmeti gibi hizmetler, alan adları için yeni sertifikalar düzenlendiğinde sahiplerini bilgilendirir.

HTTP Katı Aktarım Güvenliği (HSTS), tarayıcıların HSTS'ye dahil edilmiş alan adları için sertifika hatalarını kabul etmesini önler. Tarayıcı bir HSTS üst bilgisi gördükten sonra, kullanıcı "yine de devam et" seçeneğine tıklasa bile bu alan adına HTTP üzerinden veya sertifika hatasıyla bağlanmayı reddeder.

HSTS ön yükleme listesindeki siteler tarayıcılara sabit kodlanmıştır; bu nedenle ilk ziyaret bile korunur. Önceden yüklenmiş sitelerde sertifika uyarıları hiçbir zaman atlanamaz, bu da bunlara yönelik MITM saldırılarını uygulanamaz hâle getirir.

Dahili CA işleten kuruluşlar, CA sertifikalarını mobil cihaz yönetimi (MDM) veya grup ilkesi aracılığıyla tüm kurumsal cihazlara dağıtmalıdır. Bu, kullanıcıların güvenlik uyarılarını elle atlamasını gerektirmeden dahili araçlardaki sertifika uyarılarını ortadan kaldırır.

Dahili CA anahtarları dosya sistemlerinde değil, donanım güvenlik modüllerinde saklanmalıdır. CA sertifikalarının geçerlilik süreleri sınırlı olmalı ve genel internet etki alanları için güvenilir kabul edilmemelidir; yalnızca kuruluşun belirli dahili ad alanları için güvenilir olmalıdır.

Sertifika uyarıları belirli sorunlara işaret eder: ERR_CERT_DATE_INVALID (süresi dolmuş), ERR_CERT_AUTHORITY_INVALID (bilinmeyen CA), ERR_CERT_COMMON_NAME_INVALID (ana bilgisayar adı uyuşmazlığı). Her birinin belirli nedenleri ve uygun karşılıkları vardır.

Bankacılık, e-posta veya sağlık sitelerindeki sertifika uyarılarını asla atlamayın. Kendinden imzalı veya dahili CA sertifikaları kullanan dahili araçlar, bağlam doğrulandıktan sonra güvenle kullanılabilir. HSTS, kapsamına alınmış etki alanlarında uyarıların atlanmasını engelleyerek MITM saldırılarına karşı koruma sağlar.