SSL nedir?
“SSL” (Secure Sockets Layer) sertifikası bağlanılan web sitesinin kimliğini doğrulayan ve “SSL teknolojisi” kullanılarak sunucuya gönderilen ve alınan bilgilerin şifrelenerek aktarılmasını sağlayan dijital bir belgedir.
Bir SSL sertifikası, bağlantı kurulan bir tarayıcı üzerinden de görüleceği üzere bağlanılan web sitesinin bir bakıma pasaportu niteliğindedir. İnternet kullanıcısı herhangi bir ağ üzerinden bir web sunucusuna güvenli şekilde bilgi göndermek istediğinde, kullanıcının tarayıcısı sunucunun SSL sertifikasına erişir, SSL sertifikasını veren kurum kendisinde tanımlı ise tarayıcı bunu kontrol eder ve sonuçta güvenli bir bağlantı kurulur. Bundan sonra da karşılıklı şifrelenmiş olarak bilgi akışı sağlanır.
Bir SSL sertifikası hangi bilgileri içerir?
• Sertifika sahibi kurumun unvanı
• Sertifikanın seri numarası ve son kullanma tarihi
• Sertifika sahibinin açık anahtarı
• Sertifika veren kurumun ESHS (Elektronik Sertifika Hizmet Sağlayıcısı) elektronik imzası
SSL sertifika çeşitleri nelerdir?
1) DV (Domain Validation) SSL
2) OV (Organizational Validation) SSL
3) EV (Extended Validation) SSL
DV SSL sertifikaları, doğrulama düzeyi düşük, sadece sunucu adını doğrulayan ve dakikalar içerisinde sağlanan sertifikalardır. Bu yüzden özellikle hosting firmaları aracılığıyla çok düşük fiyatlarla satılmaktadır. Bu tür SSL sertifikaları verilirken sertifikayı talep eden kurumun doğrulaması yapılmadığından, bu tür SSL sertifikalarına haiz web siteleri bilinçli müşteriler nezdinde tercih edilmemektedir. DV SSL kullanan bir e-ticaret sitesiyle OV SSL kullanan bir e-ticaret sitesi arasında bu manada ciddi fark oluşmakta ve kullanıcılar tarafında fiyata değil güvenilirliğe yönelik bir tercih sebebi oluşmaktadır. Güvenliğin ön planda olduğu kritik veri alışverişi gerektiren durumlarda, ki artık günümüzde bağlanmış olduğumuz tüm sitelerde kişisel bilgilerimizin kullanılması kaçınılmaz olmuştur, DV SSL sertifikalarının kullanılması tavsiye edilmemektedir.
DV SSL sertifikalarının tanımlanması için sertifika içeriğinin incelenmesi yeterlidir. Bu tür sertifikalarda, sertifikayı veren ESHS’nin açık adıyla beraber “DV” ibaresi açıkça yer alır.
OV SSL sertifikaları, sunucu adına bağlı olarak bu alan adına sahip olan firmanın bilgilerini içerir ve bu bilgilerin hepsi sertifikayı üreten firma tarafından kontrol edilerek doğrulanır. Kurum adı, kurumun faaliyette olup olmadığı, başvuruyu yapan kişinin kurumda çalışıp çalışmadığı, başvurunun kurum tarafından gelip gelmediği, başvuru yapılan alan adının sahipliğinin veya kontrolünün bu kurumda olup olmadığı ve tüm iletişim bilgilerinin doğruluğu bu tip SSL sertifikalarının üretim sürecinde tek tek doğrulanır. Bu bağlamda DV SSL sertifikalarından çok daha güvenli sertifikalardır. OV SSL sertifikaları ESHS ve başvuru sahibi tarafından yürütülen işlemlerle ortalama olarak 1-2 günlük bir doğrulama süreci sonrasında üretilir. Her ne kadar fiyatları DV SSL sertifikalarından fazla olsa da, sağladığı güvenle karşılaştırıldığında bu fiyat farkı aslen çok makul düzeydedir.
Günümüzde müşterisinin veya kullanıcılarının bilgi güvenliğini önemseyen kurumlar DV SSL yerine OV SSL veya EV SSL sertifikalarını tercih etmektedir.
EV SSL sertifikaları, güvenlik düzeyi en yüksek olan ve sertifika sahibi firmanın fiziksel, hukuki ve ticari varlığıyla beraber çok kapsamlı kurumsal doğrulama süreçlerini sağlayan sertifikalardır. Sertifika üreticileri tarafında yapılan doğrulamaların çokluğu ve detayı sebebiyle en pahalı SSL sertifikalarıdır. Bu tür sertifikalarda kullanıcı tarayıcı üzerinde EV SSL sertifikası bulunan bir siteye bağlandığı takdirde adres çubuğunda güvenilir site niteliği taşıyan yeşil renkli bir gösterim belirecektir. Bu da kullanıcılar için yüksek güvenlikli bir siteye bağlandıklarının onayıdır.
İhtiyaca göre SSL sertifikası alternatifleri nelerdir?
1) SSL
2) SAN SSL
3) Wildcard SSL
SSL sertifikası, tek bir sunucu adı için verilen bir sertifikadır. Sertifikanın içinde adı yazılı olan sunucuya yüklenerek SSL güvenliği sağlar.
Birden fazla sunucu için aynı SSL sertifikasının kullanılması ihtiyacından dolayı zaman içerisinde ayrıca “SAN” ve “Wildcard” seçenekleri de ortaya çıkmıştır.
SAN SSL sertifikası, birden fazla sunucu veya alan adını (domain) içerebilen bir SSL sertifikasıdır. Ortalama olarak 10-15 farklı sunucu adını içerebilir. Buradaki ölçüt genellikle SAN alanındaki karakter uzunluğu sınırlamasıdır.
Wildcard SSL sertifikası, tek bir alan adı için alınabilen ve o alan adının tüm alt alan adlarını kapsayan bir sertifikadır. Bu tür sertifikalarda alan adının (domain) başında “*” karakteri tüm alt alan adlarını kapsayacak şekilde kullanılmaktadır (örneğin; “*.domain.com.tr”). Burada özellikle belirtmek gerekirse, e-posta sunucularında özellikle POP ve IMAP gibi protokoller kullanıldığında, exchange sunucular “*” karakterini tanımayıp, sertifikayı güvensiz veya geçersiz olarak algılayabilmektedir. Bu durumdan dolayı Exchange sunucularda Wildcard SSL sertifikası kullanımı tavsiye edilmemektedir.
Wildcard SSL ile SAN SSL sertifikaları arasında tercih yapılırken dikkat edilmesi gereken husus; aynı alan adı için kullanılan birçok sunucu sertifikası için Wildcard SSL sertifikaları; aynı kurumun farklı alan adlarına ait sunucular için ise SAN SSL sertifikaları kullanılabileceğidir.
Fiyat ve performans açısından değerlendirilecek olursa; maliyet ve tedarik kolaylığı açısından DV SSL daha avantajlı görünse de; bilgi güvenliğinin had safhada olması gereken uygulamalarda ödenen ücrete takılmadan OV veya mümkünse EV SSL kullanılması en önemli kriter olacaktır.