Sertifika, protokol ve geçmiş
Bir sertifika kontrolü tek bir sertifika hakkında bilgi verir. Bir TLS taraması, sunucunun gerçekte hangi protokol sürümlerini ve şifreleri kabul ettiğini gösterir. Bir CT log araması ise kendi yayınlamadığınız sertifikalar dahil, bir alan adı için şimdiye kadar var olmuş her sertifikayı gösterir. Birlikte, "bu sitenin şifrelemesi gerçekten sağlam mı" sorularının çoğunu kapsarlar.
📖 Daha derin bir inceleme için: Sertifikanız Yenilendi, Peki Tarayıcı Neden Hâlâ Sinirli?
SSL Sertifikası — veren kuruluş, son kullanma tarihi ve zincir
SSL Sertifikası, bir sunucunun sertifikasını getirir ve ayrıştırır; veren kuruluşu (Sertifika Otoritesi), geçerlilik tarihlerini, Subject Alternative Names'i (SAN) ve sertifika zincirini gösterir.
Ne zaman kullanılır: bir kesintiye neden olmadan önce sertifikanın ne zaman süresinin dolacağını kontrol ederken; yeni yayınlanan bir sertifikanın SAN listesi üzerinden olması gereken tüm alt alan adlarını kapsadığını doğrularken; veya zincirin eksiksiz olduğunu doğrularken — eksik bir ara sertifika, tarayıcılar açık bir hata göstermese bile bazı istemciler için doğrulamayı bozar.
Sonuçlar nasıl okunur: kısa bir geçerlilik süresi (90 gün) Let's Encrypt ve çoğu modern CA için normaldir; bir uyarı işareti değil, otomatik yenilemenin bir işaretidir. Daha önemli olan, zincirin eksiksiz olup olmadığı ve SAN listesinin kontrol ettiğiniz ana bilgisayar adını gerçekten içerip içermediğidir — gerekli alt alan adını içermeyen yenilenmiş bir sertifika, "yenileme başarılı" olsa bile tarayıcı uyarısı vermeye devam eder.
TLS Tarayıcı — sunucu gerçekte neyi kabul ediyor
TLS Tarayıcı, bir sunucuya bağlanır ve hangi TLS protokol sürümlerini (1.0'dan 1.3'e) ve şifreleme paketlerini desteklediğini bildirir.
Ne zaman kullanılır: bir yapılandırma değişikliğinden sonra eski, güvensiz protokollerin (TLS 1.0/1.1) gerçekten devre dışı bırakıldığını doğrularken; PCI-DSS gibi standartların minimum TLS sürümü gerektirdiği uyumluluk kontrollerinde; veya bazı eski istemcilerin neden bağlanamadığını teşhis ederken.
Sonuçlar nasıl okunur: modern bir sunucuda yalnızca TLS 1.2 ve 1.3 sunulmalıdır — 1.0 veya 1.1 desteği, yükseltme zamanının çoktan geçtiği anlamına gelir. Şifreleme paketleri arasında AES-GCM veya ChaCha20 kullananları arayın; RC4 veya 3DES sunulması küçük bir stil sorunu değil, gerçek bir zayıflıktır.
CT Log Arama — vazgeçemeyeceğiniz kamu kaydı
CT Log Arama, genel olarak güvenilen her sertifikanın yayınlanması zorunlu olan kamuya açık Certificate Transparency günlüklerini arar; unutmuş olabileceğiniz alt alan adları dahil, bir alan adı için şimdiye kadar yayınlanmış her sertifikayı bulur.
Ne zaman kullanılır: varlığını bilmediğiniz alt alan adlarını, onlar için yayınlanan sertifikalar aracılığıyla keşfederken; yetkisiz veya hatalı yayınlanmış sertifikaları tespit ederken; veya bir denetim sırasında güvenlik keşfi yaparken.
Sonuçlar nasıl okunur: uzun bir süresi dolmuş sertifika listesi tamamen normaldir — CT günlükleri kalıcıdır, sertifikalar 90 günde bir ila bir yılda bir yenilenir, bu yüzden geçmiş hızla birikir. Gerçekten araştırmaya değer olan, tanımadığınız bir CA'dan gelen veya kontrol etmediğiniz bir alt alan adı için yayınlanan bir sertifikadır — her ikisi de hemen takip edilmeye değer.
Bu araçlar birlikte nasıl çalışır
Endişelendiğiniz belirli alan adı için SSL Sertifikası ile başlayın — en yaygın sorunu (son kullanma tarihi, eksik zincir, yanlış SAN) yakalar. Protokol düzeyinde sertleştirmeyi doğrulamanız gerektiğinde TLS Tarayıcı'yı ayrı çalıştırın, çünkü tamamen geçerli bir sertifika, altında hâlâ zayıf, eski TLS sürümleri sunan bir sunucuda durabilir. Soru tek bir sertifikadan daha büyük olduğunda — kendi yapmadığınız şeyler dahil, bir alan adı için şimdiye kadar yayınlanmış her şeyin denetimi — CT Log Arama'ya başvurun.