SSL Protocol Version Yapılandırması

SSL 2.0, SSL 3.0, TLS 1.0 ve TLS 1.1 bilinen zayıflıkları nedeniyle artık kullanılmamalıdır; güncel tarayıcılar ve uyumluluk standartları (ör. PCI DSS) TLS 1.2 ve üstünü bekler. Sunucunuzda yalnızca TLS 1.2 ve TLS 1.3 etkin olmalıdır.

Sürümlere kısa bakış

• TLS 1.2: Hâlâ yaygın; doğru cipher suite seçimiyle güvenlidir.
• TLS 1.3: Daha kısa el sıkışma, yalnızca modern AEAD şifreleri, eski algoritmaların kaldırılması.
• TLS 1.0/1.1: Kullanımdan kaldırıldı (RFC 8996).

Sunucuya göre ayar

# Nginx
ssl_protocols TLSv1.2 TLSv1.3;

# Apache
SSLProtocol -all +TLSv1.2 +TLSv1.3

IIS ve Windows Server'da bu ayar Schannel kayıt defteri anahtarlarıyla veya IIS Crypto benzeri araçlarla yapılır. TLS 1.3 desteği sunucu yazılımı, OpenSSL ve işletim sistemi sürümüne bağlıdır.

Test etme

openssl s_client -connect example.com:443 -tls1_1
openssl s_client -connect example.com:443 -tls1_2
nmap --script ssl-enum-ciphers -p 443 example.com

Birinci komut el sıkışma hatası ("alert protocol version" gibi) vermeli, ikincisi başarıyla bağlanmalıdır. Not: Yeni OpenSSL sürümleri kendi yapılandırmaları nedeniyle -tls1_1 seçeneğini yerelde reddedebilir; bu durumda testi başka bir araçtan yapın. Dışarıdan hızlı kontrol için SSL kontrol aracını da kullanabilirsiniz.

Uyumluluk uyarıları

• Çok eski cihazlar (eski Android, Windows XP, eski Java sürümleri) TLS 1.2'yi desteklemeyebilir.
• Kapatmadan önce erişim günlüklerinde hangi protokol sürümlerinin kullanıldığını inceleyin.
• Değişiklik sonrası uygulamalar ve ödeme entegrasyonları için bağlantı testi yapın.

Adım adım uygulama planı

1. Erişim günlüklerinden mevcut istemcilerin TLS sürümlerini çıkarın.
2. Test sunucusunda yeni ayarı deneyin.
3. Üretimde düşük trafikli bir saatte uygulayın ve hata oranlarını izleyin.
4. Gerekirse eski sürümü yalnızca geçici olarak, yedek bir uç noktada açık tutun.

Ödeme sağlayıcıları ve kurumsal entegrasyonlar çoğu zaman TLS 1.2 ister; kapatma kararını bu bağımlılıklarla birlikte değerlendirin.

Protokol ayarı, geçerli bir sertifikanın yerini tutmaz; sertifika seçenekleri için SSL sertifikaları sayfasına bakabilirsiniz.