SSL/TLS penetrasyon testi, bir sistemin aktarım katmanı güvenliğinin yetkili bir test ekibi tarafından sistematik olarak denetlenmesidir. Amaç, saldırganın kullanabileceği zayıf protokol, cipher, sertifika ve uygulama kaynaklı açıkları önce sizin bulmanızdır. Yazılı izin ve net kapsam olmadan başkasının sistemini test etmek yasal sorun doğurur.
Kapsamın belirlenmesi
- Test edilecek alan adları, IP'ler ve portlar (443, e-posta portları, API uç noktaları).
- Test penceresi, yük sınırları ve iletişim kişileri.
- Load balancer, CDN ve üçüncü taraf hizmetlerin kapsama dahil olup olmadığı.
Tipik test adımları
- Keşif: Açık portlar ve TLS sunan hizmetler (
nmap -sV -p- alanadi.com). - Protokol ve cipher analizi:
testssl.shveyanmap --script ssl-enum-ciphersile zayıf sürümlerin tespiti. - Sertifika incelemesi: Zincir, alan adı eşleşmesi, imza algoritması, bitiş tarihi, SAN alanları.
- Zafiyet kontrolleri: Heartbleed, ROBOT, yeniden müzakere ve benzeri bilinen sorunlar.
- Uygulama katmanı: HTTP'ye düşürme, HSTS eksikliği, güvensiz çerez bayrakları, mixed content.
- İç kullanım: Sertifika doğrulamayı kapatan istemci kodları (ör.
verify=False) aranır.
Raporlama
- Her bulgu için etki, kanıt (komut çıktısı), öncelik ve çözüm önerisi yazılır.
- Düzeltme sonrası yeniden test yapılır ve sonuç kayda geçer.
Örnek giderme
ssl_protocols TLSv1.2 TLSv1.3;
add_header Strict-Transport-Security "max-age=31536000" always;Bu iki satır, eski protokol ve HSTS eksikliği bulgularını çoğu kurulumda kapatır. Testi tek seferlik değil yıllık ve büyük değişikliklerden sonra tekrarlanan bir süreç olarak planlayın.
Sık yapılan hatalar
- Kapsamı yazılı olarak netleştirmemek.
- Yalnızca otomatik tarayıcı çıktısını rapor diye teslim etmek; bulguların doğrulanması gerekir.
- Canlı sistemde yüklü test yapıp hizmeti aksatmak.
- Düzeltme sonrası yeniden test yapmamak.
- Test verilerini ve çıktılarını güvenli saklamayı ihmal etmek.
Ön kontrol için SSL denetleyici kullanabilir, sertifika ve yapılandırma sorularında Türkçe teknik destek ekibimize ulaşabilirsiniz.