• Eski Protokol ve Zayıf Şifre Süitlerinin Kullanımı: En sık yapılan ve en tehlikeli hatalardan biridir. SSLv2, SSLv3, TLS 1.0 ve TLS 1.1 gibi eski protokoller, bilinen birçok güvenlik açığına sahiptir (örneğin POODLE, BEAST). Bu protokoller, modern saldırganlara karşı savunmasızdır ve kullanılmamalıdır. Benzer şekilde, RC4, DES, 3DES gibi zayıf şifre süitleri ve ECB, CBC gibi modlar da kırılabilir oldukları için terk edilmelidir. Modern uygulamalar için TLS 1.2 ve özellikle TLS 1.3 kullanılması şiddetle tavsiye edilir. Şifre süitleri seçilirken, ileriye dönük gizlilik (Perfect Forward Secrecy - PFS) sağlayan ECDHE veya DHE tabanlı süitler tercih edilmelidir. Örneğin,
  Kod:

  TLS_AES_256_GCM_SHA384

  gibi modern ve güçlü şifre süitleri kullanılmalıdır.
  
• Zayıf Anahtar Yönetimi Uygulamaları: TLS sertifikalarının altında yatan özel anahtarların güvenliği, tüm sistemin güvenliği için esastır. Kısa anahtarlar (örneğin 1024 bit RSA) kolayca kırılabilir. Günümüzde minimum 2048 bit RSA veya tercihen 3072/4096 bit RSA ya da ECDSA anahtarlarının kullanılması önerilir. Anahtarların aynı anda birden fazla sunucuda kullanılması veya güvenli olmayan bir şekilde saklanması da büyük bir risktir. Özel anahtarlar her zaman güvenli, erişimi kısıtlı ortamlarda saklanmalı ve yetkisiz erişime karşı güçlü parolalar veya donanım güvenlik modülleri (HSM) ile korunmalıdır.
  
• Sertifika Yönetimi Hataları:
  
  • Süresi Geçmiş Sertifikalar: Sertifikaların süresinin dolması, tarayıcıların uyarı vermesine ve kullanıcıların siteye olan güvenini kaybetmesine neden olur. Bu durum, hizmet kesintisi anlamına gelir ve yenileme süreçlerinin otomatikleştirilmesi veya dikkatle takip edilmesi gerekir.
  • Geçersiz Alan Adı Eşleşmesi: Sertifika, sunucunun gerçek alan adıyla eşleşmiyorsa, tarayıcılar bu sertifikayı geçersiz sayar. Özellikle birden fazla alan adı veya alt alan adı için tek bir sertifika kullanılıyorsa, SAN (Subject Alternative Name) alanının doğru yapılandırıldığından emin olunmalıdır.
  • Güvenilmeyen Sertifika Yetkilileri (CA): Sertifikanın tanınmış ve güvenilir bir CA tarafından imzalanmamış olması veya kendi kendini imzalamış (self-signed) bir sertifika kullanılması, tarayıcılar tarafından uyarı olarak işaretlenir ve güven ilişkisini zedeler.
• HSTS (HTTP Strict Transport Security) Eksikliği veya Yanlış Yapılandırması: HSTS, tarayıcılara bir web sitesinin her zaman HTTPS üzerinden erişilmesi gerektiğini bildiren bir güvenlik mekanizmasıdır. Bu, kullanıcıları kasıtlı olarak veya yanlışlıkla HTTP üzerinden bağlanmaktan kaynaklanabilecek MITM (Man-in-the-Middle) saldırılarından korur. HSTS başlığının doğru `max-age` değeri ve `includeSubDomains` ile `preload` yönergeleriyle yapılandırılması önemlidir. Eksik veya yanlış yapılandırılmış HSTS, HTTPS bağlantılarının zorunlu kılınmamasından dolayı kullanıcıların güvenliğini riske atar.
  
  Kod:

  Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

  Yukarıdaki başlık, tarayıcıya bir yıl boyunca (31536000 saniye) bu etki alanı ve tüm alt etki alanları için yalnızca HTTPS kullanmasını söyler.
  
• Güven Zinciri (Chain of Trust) Sorunları: Bir TLS sertifikası genellikle bir dizi aracı sertifika (intermediate certificates) aracılığıyla kök sertifikaya (root certificate) kadar uzanan bir zincirin parçasıdır. Sunucunun bu aracı sertifikaları istemcilere doğru sırada göndermemesi, tarayıcıların güven zincirini doğrulayamamasına ve TLS el sıkışmasının başarısız olmasına neden olur. Bu durum genellikle "güvenilmeyen sertifika" hatalarına yol açar ve kullanıcılar tarafından çözülmesi zor bir sorundur. Tüm aracı sertifikaların sunucu yapılandırmasına dahil edildiğinden emin olunmalıdır.
  
• OCSP Stapling ve CRL Kontrollerinin İhmali: Bir sertifikanın süresi dolmadan iptal edilmesi gerekebilir (örneğin, özel anahtarın tehlikeye girmesi durumunda). OCSP (Online Certificate Status Protocol) Stapling ve CRL (Certificate Revocation List) ise sertifika iptal durumunu kontrol etme yöntemleridir. OCSP Stapling, sunucunun sertifika durumunu kendisinin alıp istemciye iletmesi sayesinde iptal kontrollerini hızlandırır ve gizliliği artırır. Bu mekanizmaların etkinleştirilmemesi, iptal edilmiş sertifikaların hala geçerli gibi görünmesine neden olabilir ve sistemleri riske atar.
  
• Yetkisiz Erişim ve Erişim Kontrolü Zayıflıkları: TLS anahtarlarına ve sertifikalarına erişimin uygun şekilde kısıtlanmaması, bu varlıkların kötü niyetli kişilerce çalınmasına veya değiştirilmesine olanak tanır. Sunucu üzerindeki dosya izinleri ve yönetim erişimi sıkı bir şekilde denetlenmelidir. Yalnızca yetkili kullanıcıların ve sistemlerin özel anahtarlara ve yapılandırma dosyalarına erişimi olmalıdır.
  
• Yetersiz Günlükleme ve İzleme: TLS bağlantıları ve hatalarıyla ilgili yeterli günlük kaydı tutulmaması, olası saldırıları veya yapılandırma sorunlarını tespit etmeyi zorlaştırır. Başarısız TLS el sıkışmaları, sertifika hataları veya protokol uyarısı gibi olaylar detaylı olarak günlüklenmeli ve güvenlik bilgi ve olay yönetimi (SIEM) sistemleri ile izlenmelidir. Anormal aktivite kalıpları, potansiyel güvenlik ihlallerinin erken belirtileri olabilir.

"Güvenlik, bir ürün değil, bir süreçtir." Bu felsefe, TLS yapılandırması için de geçerlidir. Sürekli izleme, güncelleme ve denetim olmadan hiçbir yapılandırma tam olarak güvenli sayılamaz.

Genişletmek için tıkla ...

• Veri İhlalleri: Şifrelenmemiş veya zayıf şifrelenmiş veriler, man-in-the-middle saldırıları veya dinleme yoluyla kolayca ele geçirilebilir. Bu durum, hassas müşteri bilgilerinin, finansal verilerin veya fikri mülkiyetin çalınmasına yol açabilir.
• İtibar Kaybı ve Müşteri Güveninin Azalması: Güvenlik ihlalleri veya sık sık görünen tarayıcı uyarıları, müşterilerin markaya olan güvenini zedeler ve iş kaybına neden olabilir.
• Yasal ve Düzenleyici Yükümlülükler: GDPR, KVKK, HIPAA gibi veri koruma düzenlemeleri, veri güvenliği için belirli standartlar gerektirir. TLS yapılandırma hataları, bu düzenlemelere uyumsuzluğa ve ağır para cezalarına yol açabilir.
• Hizmet Kesintisi: Süresi dolmuş sertifikalar veya yanlış güven zinciri yapılandırmaları gibi hatalar, hizmetlere erişimin engellenmesine veya tamamen durmasına neden olabilir.
• SEO Puanının Düşmesi: Arama motorları (özellikle Google), HTTPS kullanmayan veya güvenlik uyarıları veren siteleri daha düşük sıralamalara yerleştirir. Bu da organik trafiğin azalmasına neden olur.

• Güncel Protokolleri Kullanın: Yalnızca TLS 1.2 ve TLS 1.3 kullanın. Eski protokolleri tamamen devre dışı bırakın.
• Güçlü Şifre Süitleri Seçin: İleriye dönük gizlilik (PFS) sağlayan ECDHE veya DHE tabanlı şifre süitlerini tercih edin. AES-256 GCM gibi modern ve güçlü algoritmalar kullanın.
• Uzun Anahtar Boyutları Kullanın: En az 2048 bit RSA veya tercihen 3072/4096 bit RSA ya da ECDSA anahtarlarını kullanın.
• HSTS'yi Doğru Yapılandırın: `max-age` süresini yeterince uzun tutun (`max-age=31536000` gibi) ve `includeSubDomains` ile `preload` yönergelerini etkinleştirin.
• Sertifika Zincirini Tamamlayın: Tüm aracı sertifikaları sunucu yapılandırmasına eklediğinizden emin olun.
• OCSP Stapling'i Etkinleştirin: Sertifika iptal kontrollerini hızlandırmak ve gizliliği artırmak için bu özelliği kullanın.
• Düzenli Denetim ve Tarama Yapın: SSL Labs Sunucu Testi gibi araçları kullanarak TLS yapılandırmanızı düzenli olarak kontrol edin ve zayıflıkları giderin.
• Otomatik Sertifika Yönetimi: Let's Encrypt gibi hizmetleri kullanarak sertifika yenileme süreçlerini otomatikleştirin.
• Günlükleri İzleyin: TLS olaylarını ve hatalarını yakından izleyin ve şüpheli etkinlikleri araştırın.
• Anahtar Yönetimine Önem Verin: Özel anahtarlarınızı güvenli bir şekilde saklayın ve erişimi kısıtlayın.

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name www.example.com example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;
    ssl_session_tickets off;

    ssl_protocols TLSv1.2 TLSv1.3; # Yalnızca güvenli protokolleri kullanın
    ssl_prefer_server_ciphers on;
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';

    ssl_ecdh_curve secp384r1; # Güçlü bir ECDH eğrisi seçimi

    ssl_stapling on;
    ssl_stapling_verify on;
    resolver 8.8.8.8 8.8.4.4 valid=300s;
    resolver_timeout 5s;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
    add_header X-Frame-Options "SAMEORIGIN";
    add_header X-Content-Type-Options "nosniff";
    add_header X-XSS-Protection "1; mode=block";

    # Diğer Nginx yapılandırmaları...

}

server {
    listen 80;
    listen [::]:80;
    server_name www.example.com example.com;
    return 301 https://$host$request_uri;
}