SSL/TLS güvenlik açığı taraması, bir sunucunun protokol, cipher, sertifika ve bilinen zafiyet kontrollerini otomatik araçlarla denetlemektir. Tarama yalnızca sahibi olduğunuz veya yazılı izin aldığınız sistemlerde yapılmalıdır.
Neler taranır?
- Desteklenen protokol sürümleri (SSL 3.0, TLS 1.0/1.1 açık mı?).
- Zayıf cipher'lar ve forward secrecy desteği.
- Sertifika geçerliliği, alan adı eşleşmesi, zincir eksikliği ve bitiş tarihi.
- Bilinen zafiyetler: Heartbleed, ROBOT, yeniden müzakere sorunları vb.
- HSTS ve diğer güvenlik başlıkları.
Araçlar ve komutlar
- Çevrimiçi: Kısa ön kontrol için SSL denetleyici, ayrıntılı rapor için Qualys SSL Labs.
- Komut satırı:
nmap --script ssl-enum-ciphers,ssl-cert,ssl-heartbleed -p 443 alanadi.com - Kapsamlı:
testssl.sh alanadi.comile protokol, cipher ve zafiyet testleri tek seferde yapılır. - Sertifika:
openssl s_client -connect alanadi.com:443 -servername alanadi.comile zincir ve bitiş tarihi görülür.
Bulguları yorumlama ve giderme
- Eski protokol çıktıysa ilgili sürümleri sunucuda kapatın.
- Zayıf cipher listelendiyse cipher dizesini sıkılaştırın.
- Zincir hatası varsa sunucuya ara sertifikayı da içeren fullchain dosyasını yükleyin.
- Yazılım kaynaklı zafiyetlerde (ör. OpenSSL) işletim sistemi paketlerini güncelleyin.
Önleme
- Taramayı bir kereye mahsus değil, periyodik ve her yapılandırma değişikliğinden sonra çalıştırın.
- Sonuçları tarihleyerek saklayın; gerileme olup olmadığını görürsünüz.
- Yük dengeleyici ve CDN gibi ön katmanları da ayrıca tarayın.
Sonuçları önceliklendirme
Her bulgu eşit öncelikli değildir. Süresi dolmuş sertifika ve eski protokoller hemen, bilgilendirme niteliğindeki notlar ise planlı bakımda ele alınır. Düzeltme sonrası aynı aracı tekrar çalıştırıp bulgunun kapandığını doğrulamadan işi bitmiş saymayın. Sonuçları bir tabloda bulgu, etki, sorumlu ve hedef tarih olarak izlemek, çözümün takibini kolaylaştırır.
Sorun çözmekte zorlanırsanız SSL sorun giderici veya Türkçe teknik destek kanallarımız yardımcı olabilir.