Man-in-the-Middle (MITM) saldırısında saldırgan, kullanıcı ile sunucu arasına girerek trafiği dinler veya değiştirir. Halka açık Wi-Fi, ele geçirilmiş yönlendirici, sahte DNS yanıtı ve ARP zehirleme en bilinen yollardır. Doğru yapılandırılmış HTTPS, bu saldırıların büyük bölümünü etkisiz kılar.
TLS neyi korur?
- Gizlilik: Trafik şifrelidir, aradaki kişi içeriği okuyamaz.
- Bütünlük: Değiştirilen veri tespit edilir.
- Kimlik: Sunucu, güvenilir bir CA'nın imzaladığı sertifikayla kimliğini kanıtlar; sahte sunucu bunu sağlayamaz.
Sunucu tarafı önlemler
- Tüm sayfaları HTTPS ile sunun, HTTP'den 301 ile yönlendirin.
- HSTS başlığını ekleyin:
Strict-Transport-Security: max-age=31536000; includeSubDomains- TLS 1.2/1.3 kullanın, eski protokol ve zayıf cipher'ları kapatın.
- Çerezlere
SecureveHttpOnlybayrağı ekleyin. - Sertifika zincirini eksiksiz sunun ve süresi dolmadan yenileyin.
- Mümkünse CAA kaydı ve sertifika şeffaflığı izlemesi kullanın.
İstemci tarafı önlemler
- Sertifika uyarılarını "yine de devam et" diyerek geçmemek.
- Uygulama kodunda sertifika doğrulamayı kapatmamak (ör.
verify=False,CURLOPT_SSL_VERIFYPEER=false). - Güvenilmeyen ağlarda VPN kullanmak.
- Mobil uygulamalarda, kritik bağlantılar için sertifika sabitleme (pinning) değerlendirmek; yenileme süreci iyi planlanmazsa uygulama kırılabilir.
Belirtiler
- Beklenmedik sertifika uyarıları veya sertifika veren kuruluşun değişmesi.
- Sertifika parmak izinin beklenenle uyuşmaması:
openssl s_client -connect alanadi.com:443 | openssl x509 -noout -fingerprint -sha256
Kurumsal ağlardaki şeffaf proxy
Bazı kurumlar güvenlik denetimi için TLS trafiğini kendi kök sertifikalarıyla çözer. Bu, cihazlara önceden yüklenmiş kurumsal bir kök sertifikayla yapılır ve kurum politikası kapsamında uygulanır; ancak beklenmedik bir sertifika veren kuruluş görüyorsanız bunun sizin kurumunuzdan mı yoksa yetkisiz bir üçüncü taraftan mı geldiğini mutlaka doğrulayın.
Sonuç olarak MITM'e karşı en etkili savunma; geçerli sertifika, HSTS ve doğrulamayı kapatmayan istemcilerdir. Yapılandırmanızı SSL denetleyici ile test edebilir, sertifika seçeneklerini SSL sertifikaları sayfasında görebilirsiniz.