Eski TLS Versiyonlarını Devre Dışı Bırakma

SSL 2.0, SSL 3.0, TLS 1.0 ve TLS 1.1 bilinen zafiyetler nedeniyle güvenli kabul edilmez; büyük tarayıcılar bu sürümlerin desteğini kaldırmıştır ve PCI DSS gibi standartlar da kullanılmamasını bekler. Bu sürümleri kapatmak, sunucuyu protokol düşürme saldırılarına karşı korur.

Kapatmadan önce

1. Erişim günlüklerinde hangi TLS sürümüyle bağlanıldığını ölçün (ör. Nginx'te $ssl_protocol değişkenini log biçimine ekleyin).
2. Eski sürüm kullanan istemcileri (eski gömülü cihazlar, eski POS sistemleri, çok eski Android/Java sürümleri) tespit edin.
3. Değişikliği önce test ortamında deneyin.

Sunucu yapılandırmaları

# Nginx
ssl_protocols TLSv1.2 TLSv1.3;

# Apache
SSLProtocol -all +TLSv1.2 +TLSv1.3

IIS / Windows Server: Protokoller SCHANNEL kayıt defteri anahtarlarıyla yönetilir: HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server altında Enabled değeri 0, DisabledByDefault değeri 1 yapılır. Değişiklik için yeniden başlatma gerekir; kayıt defterini düzenlemeden önce yedek alın.

Doğrulama

• openssl s_client -connect alanadi.com:443 -tls1_1 komutu el sıkışma hatasıyla bitmelidir.
• openssl s_client -connect alanadi.com:443 -tls1_2 başarılı olmalıdır.
• nmap --script ssl-enum-ciphers -p 443 alanadi.com ile desteklenen sürümleri listeleyin.

Sık sorunlar

• Load balancer, CDN veya e-posta sunucusu gibi ayrı bileşenlerin kendi TLS ayarları olabilir; hepsini kontrol edin.
• Kapatma sonrası bazı istemcilerde "handshake failure" hatası görülebilir; bu beklenen sonuçtur, istemcinin güncellenmesi gerekir.

Kademeli geçiş önerisi

Önce yalnızca TLS 1.0'ı kapatıp birkaç gün günlükleri izleyin, sonra 1.1'i kapatın. Kritik bir istemci etkileniyorsa onu güncelleme veya ayrı bir geçiş planı yapma zamanı kazanırsınız. Mümkünse tüm ortamlarda (test, canlı, yedek) aynı yapılandırmayı kullanın ki sürprizler yaşanmasın. Yapılandırmayı yeniden yüklemeden önce sözdizimini kontrol etmeyi (nginx -t) alışkanlık edinin.

Yapılandırmanızı SSL denetleyici ile tarayabilir, hata alırsanız SSL sorun giderici sayfasından ilerleyebilirsiniz. Sertifikanız protokol sürümünden bağımsızdır; yenileme gerekmez.