🧠 Ağ Güvenliğinin Geçmişi ve Şifreli İletişimin Evrimi
Eskiden, ağ üzerindeki kullanıcıların yaptığı yazışmaları, gönderdiği e-postaları ve hatta kullandıkları şifreleri okumak, bir saldırgan için oldukça kolaydı. Bunun için yalnızca bir paket yakalama (packet capture) aracı yeterliydi. Bu tür araçlar, ağda dolaşan veri paketlerini toplar ve analiz etme imkânı sunar.
Saldırganlar, bilgisayarlarının ağ kartını "promiscuous mode" denilen özel bir moda geçirirlerdi. Bu modda çalışan bir ağ kartı, yalnızca kendisine yönlendirilen paketleri değil, ağdaki tüm paketleri yakalayabilir. Bu sayede saldırgan, ağda taşınan şifreleri, sohbetleri ve diğer hassas verileri görebilirdi.
Daha da kötüsü, birçok servis şifreleri şifrelenmemiş (cleartext) olarak gönderdiği için, bu bilgiler rahatlıkla okunabiliyordu. Kullanıcının bunu engellemek için elinden hiçbir şey gelmiyordu. Şifre, ağ üzerinden adeta açık mektup gibi gönderiliyordu. Neyse ki günümüzde bu durum değişti; artık şifreleri açık gönderen servisler nadir görülüyor.
🌐 İnternetin Güvenli Hale Gelmesi: SSL ve TLS’in Doğuşu
1990'ların başında, Netscape Communications isimli şirket, web üzerinde güvenli iletişimin gerekli olduğunu fark etti. Bunun üzerine SSL (Secure Sockets Layer) adlı bir protokol geliştirdiler. SSL 2.0, 1995 yılında ilk halka açık sürüm olarak yayımlandı.
1999 yılında ise Internet Engineering Task Force (IETF) adındaki küresel kuruluş, SSL 3.0 temel alınarak geliştirilen daha güvenli bir versiyon olan TLS 1.0'ı yayınladı. TLS, SSL'in doğal bir devamıydı ve birçok güvenlik iyileştirmesi sunuyordu. 2018 yılında, bu protokol büyük bir güncelleme aldı ve TLS 1.3 piyasaya sürüldü.
Buradaki amaç tarihleri ezberlemek değil, bu teknolojinin bugünkü haline ulaşması için geçen yaklaşık 20 yılı ve bu süreçte yapılan çalışmaları anlamaktır. Her sürümde yeni şeyler öğrenildi ve güvenlik sürekli olarak geliştirildi.
🔐 TLS Nedir ve Neden Önemlidir?
TLS (Transport Layer Security), tıpkı selefi SSL gibi bir kriptografik protokoldür ve OSI modelinin taşıma (transport) katmanında çalışır. Amacı, güvenli olmayan ağlar üzerinden (örneğin internet) istemci ile sunucu arasında güvenli iletişim sağlamaktır.
Buradaki "güvenli" kelimesi iki temel kavrama işaret eder:
-
Gizlilik (Confidentiality) → Verilerin başkaları tarafından okunamaması.
-
Bütünlük (Integrity) → Verilerin yol boyunca bozulmadan, değiştirilmeden iletilmesi.
Bugün online alışveriş, internet bankacılığı, mesajlaşma, e-posta gibi günlük işlemleri TLS olmadan düşünmek bile imkânsız. TLS olmasaydı, bu hizmetlerin hiçbirinde veri güvenliği sağlanamazdı.
🔄 TLS ile Güvenli Hale Getirilen Protokoller
Günümüzde birçok ağ protokolü, basitçe TLS’in eklenmesiyle güvenli hale getirilmiştir. Bu protokollerin sonuna genellikle “S” harfi eklenir. Bu “S”, “Secure” (Güvenli) anlamındadır ve SSL/TLS kullanıldığını gösterir. Örnekler:
-
HTTP → HTTPS (web trafiği)
-
DNS → DoT (DNS over TLS)
-
MQTT → MQTTS (IoT cihazları)
-
SIP → SIPS (VoIP protokolü)
Devam eden görevlerde, HTTPS, SMTPS, POP3S ve IMAPS gibi protokollere de değinilecektir.
📜 Teknik Arka Plan: Sertifikalar ve Kimlik Doğrulama
TLS’in güvenli çalışabilmesi için, sunucuların (ve bazı durumlarda istemcilerin) kendilerini tanıtabilmeleri gerekir. Bu, TLS sertifikaları ile yapılır. Süreç şöyledir:
-
Sunucu yöneticisi bir Sertifika İmzalama Talebi (Certificate Signing Request - CSR) oluşturur.
-
Bu talep bir Sertifika Otoritesi’ne (Certificate Authority - CA) gönderilir.
-
CA bu talebi inceler ve uygun bulursa dijital bir sertifika imzalar.
-
Bu imzalı sertifika, sunucu tarafından diğer taraflara gösterilerek kimliğini kanıtlar.
Ancak, karşı taraf bu sertifikanın geçerliliğini kontrol edebilmelidir. Bunun için, imzalayan CA'ların kök sertifikaları istemcinin cihazında yüklü olmalıdır. Tıpkı gerçek hayatta, resmi belgelerdeki damgaların tanınması gibi.
Web tarayıcılarında bu yetkili otoritelerin listesi varsayılan olarak yüklüdür.
💸 Sertifika Almak Paralı mı?
Genel olarak, sertifikalar yıllık ücret karşılığında alınır. Ancak, Let’s Encrypt gibi bazı kuruluşlar bu hizmeti ücretsiz sağlar.
Son olarak, bazı kullanıcılar kendinden imzalı (self-signed) sertifikalar da oluşturabilir. Fakat bu sertifikalar üçüncü bir taraf tarafından onaylanmadığı için güvenilir değildir ve çoğu tarayıcı bu sertifikaları uyarı vererek açar.
🇬🇧 Expanded English Version
🧠 History of Network Security and the Evolution of Encrypted Communication
In the past, reading users’ chats, emails, or even passwords on a network was surprisingly easy. All a hacker needed was a packet capture tool like Wireshark. These tools intercept and analyze the data packets traveling through a network.
Attackers would often put their network cards into what's called promiscuous mode. In this mode, the network card doesn't just capture data intended for it — it captures everything. This includes login credentials, messages, and any sensitive data moving through the network.
Worse yet, many services at that time transmitted passwords in cleartext — completely unencrypted. Users had no control over this and couldn’t prevent their data from being exposed. Thankfully, this has changed, and it's now rare to find a service that transmits login credentials unencrypted.
🌐 Securing the Web: The Birth of SSL and TLS
In the early 1990s, Netscape Communications realized the urgent need for secure communication over the web. They created a protocol called SSL (Secure Sockets Layer), with version 2.0 released to the public in 1995.
Later in 1999, the Internet Engineering Task Force (IETF) released TLS 1.0, based on SSL 3.0 but with enhanced security. TLS became the successor to SSL. In 2018, the protocol received a significant update with the release of TLS 1.3.
The point isn't to memorize these dates but to appreciate the 20+ years of development and lessons learned that have shaped today’s secure communication protocols.
🔐 What is TLS and Why is It Important?
TLS (Transport Layer Security) is a cryptographic protocol that works at the transport layer of the OSI model. It secures data transmission between clients and servers, even over untrusted networks like the Internet.
"Secure" here means:
-
Confidentiality → No one can read the data.
-
Integrity → Data cannot be altered without detection.
Without TLS, online shopping, banking, messaging, or emailing would be vulnerable. TLS is the foundation of safe internet use today.
🔄 Protocols Made Secure with TLS
TLS has been applied to many standard protocols, simply by adding the TLS layer. This is often shown with an “S” suffix, meaning Secure. Examples include:
-
HTTP → HTTPS
-
DNS → DoT (DNS over TLS)
-
MQTT → MQTTS
-
SIP → SIPS
Upcoming tasks will explore HTTPS, SMTPS, POP3S, and IMAPS.
📜 Technical Overview: Certificates and Identity
To establish a secure TLS connection, a server (or client) must present a TLS certificate to prove its identity.
-
The server admin creates a Certificate Signing Request (CSR).
-
This is sent to a Certificate Authority (CA).
-
The CA verifies the request and signs a digital certificate.
-
This certificate can now prove the identity of the server to clients.
For clients to trust the certificate, their systems must already trust the CA that issued it. Web browsers come with many trusted authorities pre-installed — like recognizing official stamps in the real world.
💸 Are Certificates Paid?
Usually, certificate signing requires an annual fee. However, Let’s Encrypt offers this service for free.
Some users generate self-signed certificates, but since no third party confirms them, they are not trustworthy and browsers typically warn users before accepting them.