HTTPS Nedir? Kilit Simgesi Neyi Garanti Eder?

HTTPS nedir sorusunun kısa cevabı: adres çubuğunda https ile başlayan sitelerle aranda kurulan şifreli bağlantıdır. Gönderdiğin parola, kart numarası ve mesajlar yolda okunamaz. Ama kilit simgesi sitenin dürüst olduğunu söylemez. Dolandırıcıların kurduğu sahte siteler de aynı kilidi gösterebilir. Bu yazıda HTTPS'in neyi koruduğunu, neyi korumadığını ve bir siteyi nasıl kontrol edeceğini öğreneceksin.

HTTPS nedir ve nasıl çalışır?

MDN'nin tanımıyla HTTPS, HTTP protokolünün şifrelenmiş sürümüdür ve istemci ile sunucu arasındaki tüm iletişimi TLS ile şifreler. TLS'in eski adı SSL'dir. Bu yüzden "SSL sertifikası" ifadesi hâlâ yaygın kullanılır.

Bir HTTPS sitesine bağlandığında kabaca şunlar olur:

1. Tarayıcın siteye güvenli bağlantı kurmak istediğini bildirir.
2. Site, alan adına verilmiş sertifikasını gönderir.
3. Tarayıcı üç şeyi kontrol eder: sertifikayı güvendiği bir kuruluş mu imzalamış, sertifika adres çubuğundaki alan adıyla eşleşiyor mu, süresi dolmuş mu?
4. Kontroller geçerse iki taraf yalnız bu oturuma ait bir anahtar üzerinde anlaşır.
5. Bundan sonraki tüm veri bu anahtarla şifrelenir.

Kimlik doğrulama asimetrik, veri aktarımı simetrik şifrelemeyle yapılır. İkisinin farkını şifreleme nedir yazısında bulabilirsin.

HTTP ile HTTPS arasındaki fark nedir?

Şifresiz bağlantının riski en çok ortak ağlarda ortaya çıkar. Aynı Wi-Fi'daki biri trafiğini izleyebilir ya da değiştirebilir. Bu saldırının nasıl işlediğini ortadaki adam saldırısı yazısında okuyabilirsin.

HTTPS neyi gizler, neyi gizlemez?

HTTPS içeriği şifreler ama bağlantının her izini silmez. Aynı ağdaki biri, internet servis sağlayıcın ya da kafe Wi-Fi'ının sahibi şu bilgilerin bir kısmını görmeye devam eder:

Alan adı genellikle iki yerden görünür: tarayıcının adres çözümlemek için gönderdiği DNS sorgusundan ve TLS bağlantısının başında sunucuya hangi siteyi istediğini bildiren alandan. DNS'in nasıl çalıştığını DNS nedir yazısında okuyabilirsin. Yani HTTPS, bir bankanın sitesine girdiğini gizlemez. Hangi hesaba baktığını ve hangi parolayı yazdığını gizler.

Kilit simgesi neyi garanti eder, neyi etmez?

Google bu yanlış anlamayı ölçtü. 2021'deki araştırmasında katılımcıların yalnız yüzde 11'i kilit simgesinin tam anlamını doğru biliyordu. Google'a göre oltalama sitelerinin neredeyse tamamı HTTPS kullandığı için kilit de gösterir. Bu yüzden Chrome, Eylül 2023'te çıkan 117 sürümüyle kilidi ayar simgesine benzeyen nötr bir simgeyle değiştirdi. Bağlantı yine şifrelidir, yalnız simge artık "güvenilir" izlenimi vermez. Bazı tarayıcılar hâlâ kilit gösterir. Anlamı aynıdır: yol şifreli, karşıdaki taraf belirsiz.

Sahte siteler neden HTTPS kullanabilir?

Sertifika almak için sitenin bir şirket olduğunu kanıtlamak gerekmez. En yaygın sertifika türü alan adı doğrulamasıdır. Let's Encrypt'in anlattığı süreçte başvuran, alan adını kontrol ettiğini iki yoldan biriyle kanıtlar: alan adına belirli bir DNS kaydı ekler ya da sitede belirli bir adrese bir dosya koyar. Hepsi otomatik ve ücretsizdir.

Bu durum internet için iyidir, çünkü şifreleme herkese açık hâle geldi. Ama bir sonucu var: harfi değiştirilmiş bir banka adresini satın alan dolandırıcı da birkaç dakikada geçerli bir sertifika alır. Örneğin hesap-dogrulama-banka.example gibi bir adres kilit gösterebilir.

Sertifikaların ömrü de kısalıyor. Let's Encrypt varsayılan olarak 90 gün geçerli sertifika verir ve bu süreyi 2028'e kadar 45 güne indirecek. Sektör kuralı da CA/Browser Forum kararıyla en uzun geçerliliği Mart 2029'a kadar 47 güne düşürüyor. Bu, çalınan bir sertifikanın kullanılabileceği süreyi kısaltır, ama sahte siteleri engellemez.

Bir sitenin gerçek olduğunu nasıl kontrol edersin?

Kilide bakmak yerine şu adımları izle:

• Alan adını harf harf oku. Fazladan kelime, tire ya da benzer görünen harf olup olmadığına bak. Asıl alan adı, uzantıdan hemen önceki kısımdır.
• Adresi kendin yaz ya da yer imini kullan. SMS, e-posta veya reklamdaki bağlantıya tıklama.
• Sertifika ayrıntısına bak. Adres çubuğunun solundaki simgeye tıklayıp bağlantı ve sertifika bilgisini aç. Sertifikanın hangi alan adına verildiğini gör.
• Acele ettiren mesajlara şüpheyle yaklaş. "Hesabın kapanacak", "son 10 dakika" gibi baskılar oltalamanın klasik işaretidir.
• Ödemede itiraz imkânı olan yöntemi seç. Havale ve kripto para ile ödeme isteyen alışveriş sitesinden uzak dur.

Oltalama mesajlarını tanımak için phishing nedir yazısına, alışveriş sitelerini kontrol etmek için sahte e-ticaret siteleri rehberine bak.

Tarayıcı uyarıları ne anlama gelir?

Tarayıcı bir sorun gördüğünde tam sayfa uyarı gösterir. Uyarı metni sorunun türünü söyler:

Karışık içerik ayrı bir durumdur: sayfa HTTPS ile açılır ama bazı parçaları HTTP ile yüklenir. MDN'ye göre güncel tarayıcılar karışık resim, ses ve video isteklerini otomatik olarak HTTPS'e yükseltir, diğer tüm karışık istekleri engeller.

Sahte bir site fark edersen ne yapmalısın?

1. Sayfayı kapat, bilgi girmeye devam etme.
2. Adresi ve ekran görüntüsünü sakla.
3. Siteyi Siber Güvenlik Başkanlığı ihbar formuyla USOM'a bildir.
4. Kart bilgisi girdiysen bankanı resmî müşteri hizmetleri numarasından ara, kartı kapattır ve işleme itiraz et.
5. Parola girdiysen o parolayı ve aynı parolayı kullandığın her hesabı hemen değiştir.
6. Para kaybettiysen en yakın polis merkezine, jandarmaya ya da Cumhuriyet Başsavcılığına şikâyette bulun. Kayıtları ve ekran görüntülerini yanında götür.

Site sahibiysen HTTPS'i nasıl doğru kurarsın?

Kendi siten için dört temel adım var. Sertifikayı ACME protokolüyle otomatik yenile, böylece süresi dolmaz. HTTP isteklerini kalıcı olarak HTTPS'e yönlendir. HSTS başlığıyla tarayıcıya siteni yalnız HTTPS ile açmasını söyle. Sayfadaki tüm kaynakları HTTPS'ten yükleyerek karışık içeriği temizle.

Bir panelin neden güven uyarısı verdiğini sertifikayı inceleyerek bulduğun senaryoyu saha görevlerinde deneyebilirsin.

Kaynaklar

• MDN: HTTPS
• MDN: Karışık içerik (Mixed content)
• Chromium Blog: Kilit simgesi güncellemesi
• Let's Encrypt: Nasıl çalışır
• Let's Encrypt: Sertifika ömrünü 45 güne indirme