TLS Yapılandırma Denetimi: sslyze ile Güvenlikyağızınızı İçerden İncelemek

TLS güvenlik yapılandırmasını düzenli olarak denetlemek, sürdürülebilir bir güvenlik uygulanabilirliğinin temelidir. sslyze, farklı protokol sürümleri, şifreli algoritmalar ve sertifika zinciri ile ilgili ayrıntılı bilgiler sunar. Bu yazıda, günlük bir güvenlik denetimi bağlamında sslyze ile nasıl kapsamlı bir TLS taraması yapılır, hangi çıktılar önemli işaretler verir ve bulguların kurumsal süreçlere nasıl entegre edileceğini adım adım ele alacağım.

• Amacım, bir web servisi veya API’nin TLS konfigürasyonunun güvenlik standartlarına uygun olup olmadığını hızlı ve tekrarlanabilir biçimde değerlendirmek. sslyze, mevcut protokol sürümleri, desteklenen şifrelemeler, ek güvenlik politikaları ve sertifika durumunu tek bir araçla çıkış verir. Bu sayede ‘eski protokol/algoritma destekleniyor mu?’, ‘ortağ ve modern güvenlik gerekcilerine uyuyor mu?’ gibi sorulara yanıt elde edilir.

• Kurulum: sslyze çoğu platformda Python tabanlı bir araçtır. Paket yöneticisiyle kurulur ve çalıştırıldığında hedefine bağlanarak rapor üretir.
• Temel tarama komutu: hedef host ve port ile çalıştırılır. Örneğin bir web sunucusu için: sslyze --regular https://example.com:443. Bu temel tarama, en sık kullanılan protokol sürümleri ve ana akışlar hakkında bilgi verir.
• Çıktıya odaklanılacak kategoriler: TLS sürümü desteği, kullanılan şifreleme seti (cipher suites), DHE/ECDHE anahtar değişimlerinin güçlüğü, TLS_EXT_SNI ve sertifika zinciri doğrulamasının güvenilirliği, sertifikada süresi ve süre sonu politikası.

• Protokol ve sürüm politikası: desteklenen minimum ve maksimum TLS sürümleri, eski sürümlerin devre dışı bırakılıp bırakılmadığı. Eğer TLS 1.0 veya 1.1 hala destekleniyorsa güvenlik açığı göstergesi olarak değerlendirilir.
• Şifreleme seti: modern, kuvvetli şifreler (örneğin PFS destekli ECDHE, AEAD modları) tercih edilmeli; RC4 veya 3DES gibi zayıf seçenekler devre dışı bırakılmalı.
• Sertifika zinciri: kök sertifika güvenilirliği; ara sertifikalar zinciri tam mı, geçerlilik süresi dolmuş veya sertifika imzalama politikaları uygun mu kontrol edilir.
• OT farklar ve etkiler: sunucu tarafı konfigürasyon hataları, eksik SCT/OCSP stapling gibi performans veya güvenlik etkileri taranır.

• Çıktıda “TLS 1.2 and 1.3 supported” gibi bir satır görünüyorsa olumlu işaret. Ancak “weak cipher suites enabled” gibi uyarılar varsa, konfigürasyonu güncelleme gerekebilir.
• Sertifika ömrü uzun vadeli bakış açısıyla incelenir: yakın bir yenileme planı ve otomatik yenileme mekanizması varsa, bu güvenlik sürdürmesi açısından önemlidir.

• sslyze ile TLS yapılandırma denetimi, güvenlik politikalarının uygulanabilirliğini ve teknik borçları görünür kılar. Düzenli tarama ve çıktıların değişim karşılaştırması, kurumun güvenlik mühendisliği süreçlerinde görünürlüğü artırır. Bu yöntemi kendi ortamınızda nasıl entegre ettiğinizi ve hangi raporlama biçimlerini tercih ettiğinizi paylaşabilirsiniz.