Sunucunuzun hangi TLS sürümlerini ve şifre takımlarını sunduğunu öğrenmek için dış bir hizmete bağlı kalmanız gerekmez. Açık kaynaklı tarayıcılar komut satırından çalışır, JSON çıktı verir ve CI/CD hattına kolayca eklenir.
Yaygın Araçlar
- sslyze: Python tabanlı; protokol, şifre takımı, sertifika zinciri ve bilinen zayıflıkları tarar.
- testssl.sh: Yalnızca bash ve OpenSSL gerektirir, ayrıntılı rapor üretir.
- nmap ssl-enum-ciphers: Desteklenen şifre takımlarını derecelendirir.
sslyze ornek.com:443
testssl.sh --jsonfile sonuc.json ornek.com:443
nmap --script ssl-enum-ciphers -p 443 ornek.comSonuçları Yorumlama
- Protokoller: SSLv3, TLS 1.0 ve 1.1 kapalı; TLS 1.2 ve mümkünse 1.3 açık olmalıdır.
- Şifre takımları: RC4, 3DES, NULL ve EXPORT gibi zayıf takımlar görünmemeli.
- Sertifika: Zincir tam mı, alan adı eşleşiyor mu, bitiş tarihi uygun mu.
- Ek özellikler: HSTS, OCSP stapling ve güvenli yeniden anlaşma durumu.
CI/CD'ye Entegrasyon
JSON çıktıyı jq ile süzüp, zayıf bir protokol bulunursa işlemi hata koduyla sonlandırabilirsiniz. Örneğin haftalık bir zamanlanmış görev, tüm üretim alan adlarını tarayıp sonucu ekibe raporlayabilir.
Dikkat Edilecekler
- Yalnızca size ait veya izinli sistemleri tarayın; izinsiz tarama yasal sorun doğurabilir.
- Yük dengeleyici arkasında her düğümün ayrı yapılandırılmış olabileceğini unutmayın.
- SNI kullanan sunucularda ana bilgisayar adını açıkça belirtin.
Hızlı bir ilk bakış için SSL kontrol aracını, bulunan hataların çözümü için SSL sorun gidericiyi kullanabilirsiniz.