SSL decryption nedir?

SSL decryption, günümüzde çoğunlukla TLS inspection veya HTTPS inspection olarak adlandırılan, şifreli HTTPS trafiğinin güvenlik cihazı tarafından geçici olarak açılıp incelenmesi işlemidir. Güvenlik duvarı, güvenli web ağ geçidi veya proxy; istemci ile hedef sunucu arasına denetimli bir aracı olarak girer. İnceleme akışında iki ayrı şifreli bağlantı kurulur ve trafik aradaki noktada çözümlenir. Böylece zararlı dosya, kötü amaçlı alan adı, veri sızıntısı veya yasaklı içerik politikaya göre engellenebilir.

Bu rehberin odaklandığı outbound/forward proxy incelemesinde, sunucunun gerçek sertifikasını istemciye doğrudan göstermek yerine, güvenlik cihazının istemci için ürettiği alan adı sertifikasını kullanır. İstemciler bu sertifikaya güvenebilmek için kuruluşun kök sertifikasını güvenilir sertifika deposunda bulundurmalıdır. Kök sertifika yüklenmemişse tarayıcı sertifika uyarısı verir veya bağlantıyı reddeder.

Nasıl çalışır?​

Örneğin bir çalışan example.com adresini açtığında normal akışta tarayıcı ile sunucu arasında tek bir TLS bağlantısı kurulur. SSL decryption etkinse akış şu hale gelir:

1. İstemci HTTPS isteğini güvenlik cihazına gönderir.
2. Güvenlik cihazı hedef sunucuyla ayrı bir TLS bağlantısı kurar ve sunucunun sertifikasını doğrular.
3. Cihaz, istemciye hedef alan adıyla uyumlu görünen ve kuruluşun güvenilen inceleme CA zinciriyle imzalanmış bir sertifika sunar.
4. İstemci ile cihaz arasındaki trafik cihaz tarafından açılarak incelenir.
5. İzin verilen trafik, cihaz ile hedef sunucu arasındaki ayrı ve yeniden şifrelenmiş bağlantı üzerinden iletilir.

Bu nedenle işlem, pratikte kontrollü bir aradaki adam (proxy) mimarisidir. Bu forward proxy modeli, istemcinin aracı tarafından sunulan sertifikaya güvenmesini gerektirir. Bunu TLS şifrelemesini anahtarsız kıran bir özellik gibi değerlendirmeyin; yönetilen güven ve iki ayrı oturum söz konusudur.

Somut örnek ve doğru karar​

Bir şirket, çalışan bilgisayarlarından indirilen çalıştırılabilir dosyaların ve kimlik avı sayfalarının denetlenmesini istesin. Web proxy'sinde SSL decryption açılır, kuruluşun kök sertifikası yönetilen cihazlara dağıtılır ve zararlı içerik taraması etkinleştirilir. Çalışanın tarayıcısı hedef siteye doğrudan bağlanmak yerine proxy ile konuşur; proxy içeriği inceler ve politika izin veriyorsa bağlantıyı sürdürür.

Ancak bütün trafiği ayrım yapmadan açmak doğru yaklaşım değildir. Bankacılık, sağlık, kişisel iletişim veya kuruluş politikasınca hassas kabul edilen alanlar için istisna uygulanabilir. İstisna verilen trafik genellikle yalnızca alan adı, bağlantı metadatası veya güvenlik cihazının görebildiği sınırlı bilgilerle denetlenir. İstisnalar, güvenlik görünürlüğünü azaltacağı için gerekçeli ve ölçülü tutulmalıdır.

Aşağıdaki ayrım, başlangıç politikasını oluştururken yardımcı olur:


Tablodaki kararlar evrensel kural değildir; kurumun veri işleme politikası, uygulama gereksinimleri ve tehdit modeli birlikte değerlendirilmelidir.

Kurulumda izlenecek temel sıra​

1. Önce hangi istemcilerin, kullanıcı gruplarının ve hedef kategorilerin inceleneceğini belirleyin. Varsayılan olarak tüm trafiği açmak yerine küçük bir test grubuyla başlayın.
2. Güvenlik cihazında yalnızca bu amaç için kullanılacak kuruluş kök sertifikası ve anahtar yönetimini yapılandırın. Özel anahtarı istemcilere dağıtmayın; istemcilerin yalnızca kök sertifikaya güvenmesi gerekir.
3. Kök sertifikayı yönetilen işletim sistemi ve tarayıcıların güvenilir sertifika depolarına dağıtın. Sertifika dağıtılmadan incelemeyi etkinleştirmek, beklenmeyen sertifika hatalarına yol açar.
4. İstisna listesini alan adı, uygulama gereksinimi ve veri hassasiyeti gerekçesiyle oluşturun. Sertifika sabitleyen uygulamaları ayrıca test edin.
5. Test grubunda sertifika zincirini, giriş yapılan uygulamaları, dosya indirmelerini, video ve büyük dosya trafiğini kontrol edin. Başarısız olan bağlantının nedeni sertifika güveni, protokol uyumsuzluğu, sabitleme veya cihaz kapasitesi olabilir.
6. Politikayı kademeli olarak genişletin; hata kayıtlarını, engellenen istekleri ve kullanıcı bildirimlerini izleyin. Hangi verilerin gerçekten kaydedildiğini, kayda erişim yetkilerini ve saklama politikasını ayrıca belirleyin; kök sertifikanın süresi ile yenileme prosedürünü belgeleyin.

Sık yapılan hatalar​

En yaygın hata, kök sertifikayı yalnızca bir tarayıcıya yükleyip işletim sistemi, komut satırı araçları veya farklı uygulamaların da aynı depoyu kullandığını varsaymaktır. Uygulama kendi sertifika deposunu kullanıyorsa ayrıca yapılandırma gerekebilir.

Bir diğer hata, sertifika uyarısını kullanıcıya onaylatmaktır. Bu, SSL decryption sorununu çözmez; kullanıcıları gerçek sahte sertifikalara karşı da savunmasız bırakır. Uygulama çalışmıyorsa doğru çözüm, ilgili uygulamanın gereksinimini incelemek ve gerekiyorsa dar kapsamlı istisna tanımlamaktır.

Ayrıca decryption'ın uçtan uca gizliliği ortadan kaldırdığı unutulmamalıdır. Trafik hedef sunucuya giderken şifreli kalır; fakat inceleme noktasında düz metin olarak görülebilir. Bu nedenle cihazın erişimi, kayıtları, sertifikaları ve yetkileri ayrı bir güvenlik konusu olarak korunmalıdır.

Sık sorulan sorular​

Inbound inspection ile forward proxy aynı kurulum mu?​

Hayır. Forward proxy, iç kullanıcıların dış hizmetlere giden trafiğini araya girerek inceler. Inbound inspection ise kuruluşun yönettiği sunuculara gelen trafiği hedefler ve sunucu sertifikası/anahtar yönetimi farklıdır. Birindeki kök sertifika dağıtım adımlarını diğerine aynen uygulamayın.

İnceleme noktasında açılan her veri mutlaka kaydedilir mi?​

Hayır. İçeriği görebilecek konuma gelmek ile onu kalıcı kayda almak farklıdır. Trafiğin ayrıca uygulama düzeyinde şifrelenmiş bölümleri de olabilir. Gerçekte görülen ve saklanan alanlar ürüne, uygulamaya ve kayıt politikasına bağlıdır; görünürlük ve saklama ayrı test edilmelidir.