İnternet üzerindeki veri trafiğini şifrelemekte kullanılan ve kısaca SSL olarak bilinen Secure Sockets Layer protokolü, ilk olarak Netscape Communications Corporation tarafından geliştirilmiştir. SSL sayesinde internet üzerindeki iki bilgisayar, örneğin evinizdeki bilgisayar ile alışveriş yaptığınız web sitesinin sunucusu arasında güvenli bir hat oluşturularak veri trafiği bu güvenli hat üzerinden sağlanır.
Secure Sockets Layer protokolü ile güvenli veri alışverişi yapılabilmesi için internet sunucusu üzerinde bir SSL sertifikası kullanılmak zorundadır. SSL sertifikaları da tıpkı e-posta güvenlik sertifikalarında olduğu gibi biri veriyi şifrelemek, diğeri şifreli veriyi çözmekte kullanılan iki anahtar ile çalışır. Bu anahtarlar sırası ile Public Key (Umumi Anahtar) ve Private Key (Kişisel Anahtar) olarak anılır. Veri transferi 128 ila 256 bit şifreleme ile sağlandığı için SSL üzerinden iletilen verinin başkalarınca ele geçirilmesi matematiksel olarak imkansızdır.
Secure Sockets Layer protokolü ile güvenli veri alışverişi yapılabilmesi için internet sunucusu üzerinde bir SSL sertifikası kullanılmak zorundadır. SSL sertifikaları da tıpkı e-posta güvenlik sertifikalarında olduğu gibi biri veriyi şifrelemek, diğeri şifreli veriyi çözmekte kullanılan iki anahtar ile çalışır. Bu anahtarlar sırası ile Public Key (Umumi Anahtar) ve Private Key (Kişisel Anahtar) olarak anılır. Veri transferi 128 ila 256 bit şifreleme ile sağlandığı için SSL üzerinden iletilen verinin başkalarınca ele geçirilmesi matematiksel olarak imkansızdır.
Secure Sockets Layer ya da kısa ismi ile SSL protokolü üzerinden güvenli veri iletişiminin sağlanabilmesi için sunucu üzerine kurulması zorunlu olan dijital güvenlik sertifikalarına SSL sertifikası ismi verilir. Size ait bir SSL sertifikasının içerisinde genel olarak alan adınız, firmanızın adı, adresiniz, bulunduğunuz şehir ve bulunduğunuz ülke gibi bilgiler bulunur. SSL sertifikasında ayrıca sertifikasyonu yapan sertifikasyon otoritesi (Certification Authority - CA) ile ilgili bilgiler ve sertifikanın geçerlilik süresi yer alır.
Eğer web siteniz üzerinden satış yapıyorsanız ve müşterileriniz size kredi kartı bilgilerini gönderiyorsa, veya web sitenizin üzerinden yaptığınız işlemlerde başka herhangi bir hassas bilginin transferi söz konusu ise, bir SSL sertifikasına ihtiyacınız var demektir. SSL sertifikaları hassas bilgilerin elektronik posta yoluyla iletildiği yerlerde, POP3, IMAP, SMTP protokollerini kullanan elektronik posta sunucularına da yüklenebilmektedir.
SSL sertifikaları internet üzerinde transfer edilen hassas bilgileri korumanın yanı sıra, bağlanılan web sitesinin gerçekliğini ve güvenilirliğini de kanıtlar. SSL sertifikaları bir bakıma web sitelerini "noterden onaylı" hale getiren ruhsatlar olarak da düşünülebilir. Bu nedenle web sitesinden hassas bilgiler geçmiyor olsa dahi, web sitelenize gelen ziyaretçilere güven aşılamak amacıyla da bir SSL sertifikası kullanılabilir.
SSL sertifikaları internet üzerinde transfer edilen hassas bilgileri korumanın yanı sıra, bağlanılan web sitesinin gerçekliğini ve güvenilirliğini de kanıtlar. SSL sertifikaları bir bakıma web sitelerini "noterden onaylı" hale getiren ruhsatlar olarak da düşünülebilir. Bu nedenle web sitesinden hassas bilgiler geçmiyor olsa dahi, web sitelenize gelen ziyaretçilere güven aşılamak amacıyla da bir SSL sertifikası kullanılabilir.
Bir SSL sertifikası alabilmek için kendi adınıza kayıtlı bir alan adınız olması gerekir. Genelde web yayınlama hizmeti sunan firmalar, hizmet verdikleri hesaplarda IP adresini de ortak kullandırdıkları için, mevcut web sitenizin IP adresini kullanan birçok başka web sitesi olabilir. Bu durumda SSL sertifikasını kuramazsınız. Öncelikle hizmet aldığınız web yayınlama şirketine başvurarak SSL sertifikasını kullanacağınız alan adı için bir adamış IP adresi tahsis etmesini sağlamalısınız.
Transport Layer Security protokolü'nün kısaltması olan TLS, temelde SSL'e çok benzer bir başka veri transfer güvenliği protokolüdür. Tıpkı SSL protokolünde olduğu gibi veriyi şifrelemek için Umumi Anahtar (Public Key), şifreyi çözmek için Kişisel Anahtar (Private Key) ismi verilen algoritmalarla çalışır. TLS protokolü, SSL v3'ün yeni versiyonu olarak düşünülebilir.
TLS protokolünde de tıpkı SSL'de olduğu gibi SSL sertifikaları kullanılır.
TLS protokolünde de tıpkı SSL'de olduğu gibi SSL sertifikaları kullanılır.
Sunucunuzda kullanacağınız SSL sertifikası için başvururken ihtiyacınız olacak Certificate Signing Request isimli text dosya kısaca CSR olarak bilinir. Bu dosya içerisinde alan adı, isim, adres, firma adı, telefon gibi bilgiler ile birlikte, sunucunuzun size doğru gelecek veri paketlerini şifrelemekte kullanılacak umumi anahtarı bulunur. SSL sertifikası için yapılacak tescil başvurusunda CSR kullanılır.
Çok kısa bir tanım ile dijital sertifikaları tescil eden kurum veya kuruluşlara Certification Authority ismi verilir. Bu kurumlar kısaca CA olarak anılır. CA'lar içerisinde sertifika sahibinin bilgilerini ve umumi anahtarını bulunduran dijital sertifikaları tescil ederken birer noter gibi çalışır. CA, tescil işlemi sırasında sertifikayı tescil ettiren kurum veya kişinin verdiği bilgilerin doğruluğunu kontrol etmek zorundadır.
Bir web sunucusuna SSL veya TLS protokolleri üzerinden bağlanırken, ziyaretçinin kullandığı web tarayıcısı web sitesindeki SSL sertifikasının güvenilir olup olmadığına bu sertifikayı hangi CA'nın tescil ettiğine bakarak karar verir. Buna bakarken de, tarayıcıya yazılım üreticisi (Microsoft veya Netscape gibi) tarafından eklenen Certification Authority listesini inceler. Sadece iyi bilinen, uzun zamandır faaliyette olan ve güvenilirliğini kanıtlamış CA'lar bu listelere alınır. Bu nedenlerle satın alacağınız SSL sertifikasının hangi CA tarafından tescil edildiği son derece önemlidir.
Bir web sunucusuna SSL veya TLS protokolleri üzerinden bağlanırken, ziyaretçinin kullandığı web tarayıcısı web sitesindeki SSL sertifikasının güvenilir olup olmadığına bu sertifikayı hangi CA'nın tescil ettiğine bakarak karar verir. Buna bakarken de, tarayıcıya yazılım üreticisi (Microsoft veya Netscape gibi) tarafından eklenen Certification Authority listesini inceler. Sadece iyi bilinen, uzun zamandır faaliyette olan ve güvenilirliğini kanıtlamış CA'lar bu listelere alınır. Bu nedenlerle satın alacağınız SSL sertifikasının hangi CA tarafından tescil edildiği son derece önemlidir.
Bugün internet üzerinde farklı CA'lar tarafından farklı markalar altında sunulan çok sayıda SSL sertifikası bulmak mümkündür. Seçenekler çoğaldıkça da dijital sertifika ihtiyacı olanların karar vermeleri güçleşmektedir. Bir SSL sertifikası alırken dikkat edilmesi gerekenleri aşağıda özetlemeye çalışacağız;
- Chained Root (zincirleme köklü) SSL sertifikalarından kesinlikle uzak durun. Tarayıcı yazılımları üreticileri tarafından güvenilir CA listesine alınmış kuruluşlar tarafından sunulan SSL sertifikaları, tek köklü (single root) SSL sertifikası olarak anılır.
- Tarayıcı uyumluk oranı %99'dan küçük olmamalıdır, her %1'lik düşüş potansiyel olarak 7 milyon internet kullanıcısının SSL sertifikanızı tanımaması anlamına gelir.
- İyi bir SSL sertifikasında şifreleme kuvveti yüksek olmalıdır. 256 bit'lik şifreleme yapabilen SSL sertifikaları ideal olanlardır, daha düşük olanlardan uzak durun.
Günümüzde web siteleri çoğunlukla paylaşımlı sunucularda yayınlandığı için, web sitesi sahiplerinin hem SSL sertifikası başvurularında kullanılan Certificate Signing Request (CSR)'ın elde edilmesi, hem de SSL sertifikasının sunucuya kurulumu için genellikle yeterli yetkileri yoktur. SSL sertifikası kurulumu aynı zamanda teknik yeterlilik gerektiren bir iştir. Bu nedenlerle Virgo'nun tavsiyesi web yayınlama hizmetlerinizi veren firmadan SSL sertifikanızın kurulumu konusunda destek istemeniz olacaktır.
Eğer hem SSL sertifikanızı, hem de web yayınlama hizmetlerinizi Virgo'dan aldıysanız, SSL sertifikanızın kurulumu bizim tarafımızdan ücretsiz olarak yapılacaktır.
Eğer hem SSL sertifikanızı, hem de web yayınlama hizmetlerinizi Virgo'dan aldıysanız, SSL sertifikanızın kurulumu bizim tarafımızdan ücretsiz olarak yapılacaktır.
Kesinlikle hayır! Bir SSL sertifikası sadece müşterinizin bilgisayarı ile sizin sunucunuz arasındaki veri trafiğini güvence altına alır. Sizin alışveriş sitenizin veritabanında sakladığınız kredi kartı bilgilerinin güvenliği ile SSL'in hiçbir şekilde ilgisi yoktur. Eğer alışveriş sitenize gelen müşterilerin kredi kartı bilgilerini saklıyorsanız, bu bilgilerin ayrıca şifrelenerek sunucuda güvenli bir konumda tutulduğundan emin olmalısınız.
