TLS şifrelemesi açıklandı

TLS, internet üzerindeki neredeyse tüm bağlantıları güvence altına alan temel şifreleme protokolüdür. Form göndermenize, hesaplarınıza oturum açmanıza, banka bilgilerinizi kontrol etmenize ve başkaları sizi izlemeden çevrim içi alışveriş yapmanıza olanak tanır. Buna internet hizmeti sağlayıcınız(yeni pencere) (İSS), hotspot sağlayıcıları ve halka açık Wi-Fi'yi izliyor olabilecek bilgisayar korsanları dahildir.

TLS, aygıtınız ile bir sunucu arasında şifrelenmiş bir bağlantı kurar ve verilerin güvenli şekilde aktarılmasını sağlar. Şunları sağlar:

• Gizlilik: Verileriniz şifrelenir, böylece yalnızca bağlandığınız site veya sunucu okuyabilir.
• Bütünlük: Veriler aktarım sırasında tespit edilmeden değiştirilemez.
• Kimlik doğrulama: Aslında sahte biriyle değil, gerçek siteyle (veya sunucuyla) konuşuyorsunuz.

Doğru sunucuyla konuştuğunuzdan emin olmak için sunucu, kendisinin söylediği kişi olduğunu doğrulayan bir dijital sertifika sunar. Bu sertifikalar, bir sertifikayı imzalayarak o etki alanını herkese açık bir anahtara bağlayan güvenilir kuruluşlar olan Sertifika Yetkilileri (CA'lar) tarafından verilir.

Yani siteye değil, site adına kefil olan CA'ya güvenirsiniz. Bu güven, tarayıcınızın HTTPS bağlantı bilgilerine yansır ve geleneksel olarak adres çubuğundaki kilit simgesiyle gösterilir. Simgeye tıklayarak bağlantı ve sertifikayla ilgili ayrıntıları görüntüleyebilirsiniz.

Kök CA'lar tarayıcılara gömülüdür. Örneğin Mozilla'nın kök deposu yaklaşık 140-160 kök sertifika içerir. Bunlar da çoğu siteyi doğrulamak için kullanılan ara CA'ları doğrular.

Genel olarak bu sistem iyi çalışır, ancak mükemmel değildir. :Binlerce ara CA vardır ve bu da geniş bir saldırı yüzeyi oluşturur. Ayrıca CA'lar, hükümetler tarafından baskı altına alınabilir(yeni pencere) veya suç örgütleri tarafından hacklenerek güvenliği ihlal edilmiş sertifikalar vermeye zorlanabilir. DigiNotar(yeni pencere), 2011'de yüzlerce sahte sertifika yayımlayan saldırganlar tarafından ihlal edilen ve bildirildiğine göre çoğu İran'da olmak üzere yaklaşık 300.000 kullanıcının Gmail trafiğini ele geçiren Hollandalı bir CA'nın klasik örneğidir.

Bu sorunları ele almak için modern TLS bağlantıları Sertifika Şeffaflığı (CT) kullanır. Bu, bir CA'nın baştan hacklenmesini veya zorlanmasını engellemez, ancak olumsuz etkilerin tespit edilmesini ve sınırlandırılmasını çok daha kolay hale getirir.

Kamunun güvendiği her sertifika, verildiği anda halka açık ve kurcalamaya dayanıklı kayıtlara kaydedilmelidir. Örneğin Chrome, 2018'den bu yana en az iki bağımsız CT günlüğüne kaydedilmeyen hiçbir sertifikaya güvenmeyi reddediyor.

Sonuç olarak etki alanı sahipleri, DigiNotar'da haftalar süren süreç yerine saatler içinde siteleri için sahte bir sertifikayı tespit edebilir. Tespit edildikten sonra etkilenen sertifikalar hızla geçersiz kılınabilir ve ciddi durumlarda tarayıcılar bir sonraki güncellemelerinde CA'ya olan güveni kaldırabilir.

TLS, asimetrik ve simetrik şifrelemeyi birleştirir. Asimetrik (açık anahtarlı) kriptografi, bağlantıyı kurmak ve tarayıcı ile sunucunun, bu sırrı ağ üzerinden hiç göndermeden ortak bir sır üzerinde anlaşmasını sağlamak için kullanılır. Buna TLS el sıkışması denir.

Güvenli bir bağlantı kurulduktan sonra, gerçek veriler simetrik anahtarlı şifreler (genellikle AES) kullanılarak aktarılır. Kullanılan şifreleme algoritmaları, web sunucusu ile istemci (örneğin bir tarayıcı) arasında müzakere edilir. Çoğu tarayıcı, HTTPS bağlantısı için kullanılan şifreleme algoritmaları hakkında daha fazla güvenlik ayrıntısı öğrenmek üzere kilit simgesine tıklamanıza veya dokunmanıza olanak tanır.

Geleneksel TLS, bağlandığınız sitelerin adını gizlemez; çünkü ilk el sıkışma, site adını (SNI) ve diğer ayrıntıları izleyen herkese sızdırır. Mart 2026'da IETF tarafından onaylanan yeni bir standart bunu düzeltmeyi amaçlıyor. Çalıştığında, Şifrelenmiş Client Hello (ECH) el sıkışmanın kendisini şifreler, böylece İSS'niz veya hotspot operatörleri artık hangi siteleri ziyaret ettiğinizi göremez. Ancak:

• ECH yalnızca birden fazla site aynı IP adresini(yeni pencere) paylaştığında çalışır; tıpkı bir içerik dağıtım ağı(yeni pencere) (CDN) arkasında oldukları gibi.
• Bir sitenin kendine ait özel bir IP'si varsa, hedef görünür kalır.
• ECH, tarayıcınızın ECH yapılandırma anahtarlarını almak için şifrelenmiş DNS (DoH) kullanmasına bağlıdır. Bu başarısız olursa, bağlantılar sessizce düz metin SNI'ye geri döner.
• ECH hâlâ kullanıma sunuluyor ve Firefox ile Chrome'da destekleniyor. Ancak şu anda, en popüler bir milyon sitenin yalnızca yaklaşık %9-10'u ECH'yi destekliyor ve bunların neredeyse tamamı Cloudflare kullanıyor.
• CDN ve DoH sağlayıcısı, ağ bağlantılarınızın nihai hedefini hâlâ gözlemleyebilir.

TLS ve uçtan uca şifreleme, verilerinizi korumak için şifreleme kullanır, ancak kimin şifreyi çözebileceği konusunda farklılık gösterir:

• TLS, aygıtınız ile bir sunucu arasındaki bağlantıyı şifreler. Verileriniz o sunucuya ulaştığında, orada şifresi çözülür. Sunucuyu işleten her kimse onu okuyabilir.
• Uçtan uca şifreleme (E2EE), aygıtınız ile başka bir aygıt arasındaki bağlantıyı şifreler. Verileriniz yolculuğu sırasında sunuculardan geçse bile, şifresini yalnızca amaçlanan alıcı çözebilir.

Gmail üzerinden gönderilen iletiler, aktarım sırasında TLS kullanılarak güvence altına alınır, ancak Google'ın sunucularına ulaştıklarında şifreleri çözülür, bu da Google'ın bunları okumasına olanak tanır. E2EE kullanılarak gönderilen iletiler, örneğin Signal mesajları veya Proton Mail kullanıcıları arasında alışveriş edilen e-postalar, yalnızca amaçlanan alıcı tarafından okunabilir.

Hem TLS hem de VPN'ler, aktarım sırasında verileri korur, ancak çok farklı amaçları vardır:

• Bir VPN, hangi siteleri ziyaret ettiğinizi gizler. TLS (genellikle) gizlemez.
• Bir VPN, DNS sorgularınızı(yeni pencere) gizler. TLS (DoH olmadan) gizlemez.
• Bir VPN, ziyaret ettiğiniz sitelerin gerçek IP adresinizi(yeni pencere) bilmesini engeller. TLS engellemez.
• Güvenilir bir VPN(yeni pencere), tarama geçmişinize dair hiçbir günlük tutmaz(yeni pencere). TLS, İSS'nizin (ve dolayısıyla hükümetinizin(yeni pencere)) etkinliğinizi gözetlemesine ve günlüklerini depolamasına olanak tanır.
• TLS, bağlantıları tek tek, her seferinde bir uygulama veya işlem için güvence altına alır. Buna karşılık bir VPN, aygıtınızdan gelen tüm bağlantıları VPN tüneli üzerinden yönlendirir (ayrılmış tünelleme(yeni pencere) kullanmadığınız sürece), bu da bir gözlemcinin VPN'e bağlıyken tarayıcı ve uygulama kullanımınız üzerinden davranış kalıpları çıkarmasını zorlaştırır.

TLS ve VPN birbirini tamamlar ve katmanlı koruma sağlar.

TLS sayesinde, ağ yolundaki her yabancı ne yaptığınızı izlemeden çevrim içi bankacılık yapabilir, alışveriş yapabilir ve hesaplarınıza oturum açabilirsiniz. O olmasaydı HTTPS var olmazdı ve web kullanımına dair şu anda kanıksadığımız şeylerin çoğu da olmazdı.

Ancak TLS hiçbir zaman her şeyi gizlemek için tasarlanmadı. Bir bağlantının içeriğini korur, bağlantının gerçekleştiği gerçeğini değil. İSS'niz, bir Wi-Fi hotspot operatörü veya ağı izleyen herhangi biri, ne yaptığınızı göremeseler bile hangi siteleri ziyaret ettiğinizi hâlâ görebilir. E2EE'nin aksine, TLS bağlandığınız hizmetin verilerinize erişmesini engellemez.

Bu nedenle TLS, E2EE ve VPN'ler birbirini tamamlar: TLS temel güvenlik sağlar, E2EE verilerinize yalnızca amaçlanan alıcıların erişebilmesini sağlar ve güvenilir bir VPN yüksek düzeyde çevrim içi gizlilik sunar.

TLS, bir Proton uygulaması kullandığınız her seferinde perde arkasında çalışan protokoldür (artık ağırlıklı olarak WireGuard(yeni pencere) kullanan Proton VPN uygulamaları hariç). HTTPS'nin bağlantınızı korumak için güvendiği şeydir ve ayrıca sunucular arasındaki posta teslimatı gibi doğrudan görmediğiniz yerlerdeki trafiği de güvence altına alır. Ancak TLS yalnızca veriler hareket halindeyken korur. Gerçekten gizli içerik için uçtan uca şifreleme ve sıfır erişimli şifreleme gibi daha güçlü korumalar gereklidir.