Cipher Suite Güvenlik Karşılaştırması

Cipher suite, bir TLS bağlantısında kullanılacak anahtar değişimi, kimlik doğrulama, toplu şifreleme ve bütünlük algoritmalarının birleşimidir. Hangi setlerin açık olduğu, sitenizin güvenlik düzeyini doğrudan belirler.

Bir adı okumak

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 adı şunu söyler: ECDHE ile anahtar değişimi, RSA sertifikasıyla kimlik doğrulama, AES-128-GCM ile şifreleme, SHA-256 ile PRF/hash. TLS 1.3'te adlar kısalır (TLS_AES_128_GCM_SHA256), çünkü anahtar değişimi ve kimlik doğrulama ayrı müzakere edilir.

Güvenli ve zayıf tercihler

• Tercih edilen: ECDHE anahtar değişimi + AES-GCM veya ChaCha20-Poly1305 (AEAD).
• Kaçınılacak: NULL ve EXPORT şifreler, RC4, 3DES, anonim (aNULL) setler, MD5 tabanlı yapılar.
• Zayıf kabul edilen: Statik RSA anahtar değişimi (ileri gizlilik yok) ve CBC modu setleri; yalnızca eski istemci uyumluluğu gerekiyorsa tutulur.

Yapılandırma örneği

# nginx
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;

TLS 1.3 setleri bu yönergeyle değil, kütüphane varsayılanlarıyla yönetilir.

Listeleme ve test

openssl ciphers -v 'ECDHE+AESGCM'
nmap --script ssl-enum-ciphers -p 443 ornek.com

İkinci komut, sunucunun kabul ettiği tüm setleri ve zayıf olanları gösterir. Sonucu SSL denetleme aracıyla da karşılaştırabilirsiniz.

Pratik ipuçları

• Güncel öneriler için Mozilla SSL Configuration Generator gibi bağımsız kaynakları izleyin; öneriler zamanla değişir.
• Cipher ayarları sertifika türünüzden (RSA/ECDSA) bağımsızdır; SSL sertifikası değiştirmeden güvenliği artırabilirsiniz.

Ek notlar

• Çok sıkı bir liste eski istemcileri dışarıda bırakabilir; bağlantı günlüklerinden kullanımı ölçün.
• ECDSA sertifikası kullanıyorsanız setlerdeki ECDSA varyantları da listede olmalıdır.
• Liste güncel kalması için yılda bir gözden geçirilmelidir.

Yapılandırmayı değiştirmeden önce çalışan hâlin yedeğini alın.

Özet: ECDHE + AEAD kombinasyonları ile sınırlı, sade bir liste hem güvenli hem yönetilebilir olur.