SSL/TLS Proxy

Bir SSL/TLS proxy, istemci ile sunucu arasındaki şifreli trafiği araya girerek yakalar, inceleme veya değiştirme için şifresini çözer ve iletmeden önce yeniden şifreler. Bu mekanizma, uçtan uca şifreleme nedeniyle normalde okunamayan verilerin ağ cihazları tarafından incelenmesini sağlar. Güvenilir bir aracı gibi davranır: istemcilere kendi sertifikalarını sunar ve kaynak sunuculara ayrı güvenli bağlantılar kurar.

SSL/TLS proxy'ler nasıl çalışır

SSL/TLS proxy'ler bir "man-in-the-middle" (MITM) gibi çalışır; ancak amaç kötü niyetli dinleme değil, ağ yönetimi veya güvenliktir. Süreç iki ayrı SSL/TLS handshake içerir:

1. İstemci-proxy handshake: Bir istemci SSL/TLS ile korunan bir kaynağa bağlanmaya başladığında (örneğin https://example.com), proxy isteği yakalar. Proxy, istemcinin sisteminin örtük veya açık şekilde güvendiği bir kök Sertifika Otoritesi (CA) tarafından imzalanmış bir SSL/TLS sertifikasını example.com için anlık olarak üretir. İstemci böylece doğrudan example.com ile konuştuğunu sanarak proxy ile güvenli bir bağlantı kurar.
2. Proxy-sunucu handshake: Aynı anda proxy, gerçek example.com sunucusuyla kendi güvenli bağlantısını kurar. Kaynak sunucuyla standart bir SSL/TLS handshake gerçekleştirir ve sunucunun meşru sertifikasını doğrular.

Her iki bağlantı kurulduktan sonra proxy, istemcinin isteğinin şifresini çözer, politikasına göre inceler veya değiştirir ve kaynak sunucuya göndermeden önce yeniden şifreler. Aynı şekilde sunucunun yanıtının şifresini çözer, işler ve istemciye geri göndermeden önce tekrar şifreler.

Bu sürecin tarayıcı uyarısı olmadan çalışması için proxy'nin kök CA sertifikasının, trafiğini yakalamak istediği tüm istemcilere kurulmuş ve güvenilir olarak işaretlenmiş olması gerekir.

SSL/TLS proxy türleri

SSL/TLS proxy'ler, konumlandırma bağlamına ve trafik yönüne göre sınıflandırılır.

Forward proxy (giden trafiğin yakalanması)

Forward SSL/TLS proxy, korunan bir ağdaki istemcilerden dış sunuculara giden trafiği yakalar. Kurumsal ortamlarda güvenlik, uyumluluk ve çalışanların internet kullanımının içerik filtrelemesi için yaygındır.

• İstemci: İç kullanıcı
• Proxy konumu: İç ağ ile internet arasında
• Amaç: Giden bağlantıları incelemek, güvenlik politikalarını uygulamak, zararlı siteleri engellemek, veri sızdırmayı önlemek.
• Güven gereksinimi: Proxy'nin kök CA'sı tüm iç istemci cihazlara kurulmalıdır.

Reverse proxy (gelen trafiğin yakalanması)

Reverse SSL/TLS proxy, dış istemcilerden iç sunuculara gelen trafiği yakalar. Bir veya daha fazla web sunucusunun önünde durur ve ağ geçidi görevi görür.

• İstemci: Dış kullanıcı
• Proxy konumu: İnternet ile iç web sunucuları arasında
• Amaç: Yük dengeleme, WAF (Web Application Firewall) işlevi, DDoS koruması, SSL/TLS offloading, içerik önbellekleme, API gateway.
• Güven gereksinimi: Proxy, alan adının meşru SSL/TLS sertifikasını kullanır (örneğin example.com); bu sertifika dış istemciler tarafından varsayılan olarak güvenilir kabul edilir. İstemci cihazlara özel bir CA kurulması gerekmez.

Kullanım alanları ve faydaları

SSL/TLS proxy'ler farklı operasyonel alanlarda kritik yetenekler sunar.

Güvenlik incelemesi

• Zararlı yazılım tespiti: Şifreli trafiği bilinen zararlı yazılım imzaları, komuta-kontrol iletişimleri ve klasik çevre savunmalarını atlatabilecek exploit kit'ler için tarar.
• Saldırı önleme/tespit sistemleri (IPS/IDS): Şifreli yüklerin derin paket incelemesini mümkün kılarak anormal davranışların veya bilinen saldırı örüntülerinin belirlenmesini sağlar.
• Veri sızıntısı önleme (DLP): Giden trafiği inceleyerek hassas verilerin (örneğin kişisel veriler, fikri mülkiyet) şifreli kanallar üzerinden ağdan çıkmasını engeller.
• Gelişmiş tehdit koruması (ATP): SSL/TLS üzerinden indirilen şüpheli dosyaların sandbox'ta çalıştırılmasını ve davranışsal analizini kolaylaştırır.

Uyumluluk ve denetim

• Mevzuata uyum: Şifreli olanlar dâhil tüm ağ trafiğinin denetlenebilir olmasını ve politikaya uymasını sağlayarak kurumların uyumluluk gereksinimlerini (örneğin HIPAA, GDPR, PCI DSS) karşılamasına yardımcı olur.
• Adli analiz: Olay müdahalesi ve sonrasındaki inceleme için ağ etkinliğinin şifresi çözülmüş kayıtlarını sunar.

Performans optimizasyonu

• SSL/TLS offloading: Reverse proxy'ler işlemci açısından maliyetli SSL/TLS şifreleme/şifre çözme işini üstlenerek arka uç sunucuların yükünü azaltır ve performanslarını artırır.
• Önbellekleme: Şifresi çözülmüş içerik proxy'lerde önbelleğe alınabilir; bu, kaynak sunuculardaki yükü azaltır ve sonraki isteklerde içerik teslimini hızlandırır.
• Sıkıştırma: Proxy'ler içeriği yeniden şifreleyip istemcilere göndermeden önce sıkıştırarak bant genişliği kullanımını düşürebilir.

İçerik filtreleme ve politika uygulama

• URL filtreleme: HTTPS üzerinden erişilse bile belirli site kategorilerine veya tek tek URL'lere erişimi engeller.
• Uygulama kontrolü: Porttan bağımsız olarak SSL/TLS kullanan belirli uygulamaları veya uygulama özelliklerini tanır ve denetler.
• Coğrafi kısıtlamalar: Trafiğin coğrafi kaynağına veya hedefine göre erişim politikalarını uygular.

Zorluklar ve dikkat edilmesi gerekenler

SSL/TLS proxy'lerin kurulumu ve yönetimi birkaç teknik ve operasyonel zorluk içerir.

Güven ve sertifika yönetimi

Bir SSL/TLS proxy'nin istemci uyarıları olmadan çalışabilmesinin temel koşulu, kök CA sertifikasının tüm istemci cihazlara kurulmasıdır. Bu, büyük ve çeşitli ortamlarda karmaşık olabilir ve tek bir güven noktası yaratır. Proxy'nin CA anahtarı ele geçirilirse herhangi bir web sitesinin kimliğine bürünmek için kullanılabilir; bu da ciddi güvenlik riskleri doğurur.

Gizlilik açısından etkileri

Tüm şifreli trafiğin çözülmesi, özellikle kişisel cihazlarda veya katı gizlilik yasalarının olduğu ülkelerde gizlilik endişeleri yaratır. Kurumlar politikalarını kullanıcılara açıkça bildirmeli ve yasal çerçevelere uyumu güvence altına almalıdır.

Performans yükü

SSL/TLS şifreleme ve şifre çözme işlemleri CPU açısından yoğundur. Yüksek hacimli trafiği işleyen bir proxy gecikme yaratabilir ve ciddi işlem gücü gerektirir. Bunu hafifletmek için genellikle donanım hızlandırma (örneğin kriptografik yardımcı işlemciler) kullanılır.

Uygulama uyumluluğu

Bazı uygulamalar, belirli alan adları için beklenen sertifikayı veya açık anahtarı koda gömen "certificate pinning" yöntemini kullanır. Bir SSL/TLS proxy dinamik olarak üretilmiş bir sertifika sunduğunda bu uygulamalar uyuşmazlığı fark eder ve bağlanmayı reddeder; sonuç uygulama hatalarıdır. Yaygın örnekler arasında bankacılık uygulamaları, mobil uygulamalar ve bazı API'ler yer alır. Bu tür uygulamaların yakalama kapsamı dışında bırakılması çoğu zaman gereklidir.

Yasal ve etik boyutlar

Şifreli iletişimin araya girilerek yakalanmasının önemli yasal ve etik sonuçları vardır. Kurumlar, özellikle BYOD (Bring Your Own Device) senaryolarında veya farklı hukuk sistemlerine sahip ülkeler arasında, trafiği yakalamak için yasal hakka ve geçerli bir gerekçeye sahip olduklarından emin olmalıdır.

Kavramsal proxy yapılandırma örneği

Bir SSL/TLS proxy kurmanın yaygın yolu, sertifika otoritesi yönetimi ile proxy yazılımı yapılandırmasını birleştirmektir.

Kök CA kurulumu (kavramsal)

Öncelikle, dinamik olarak üretilen sertifikaları imzalamak için bir iç kök CA gerekir.

# Kök CA özel anahtarını üret
openssl genrsa -out ca.key 2048

# Kök CA sertifikasını oluştur
openssl req -x509 -new -nodes -key ca.key -sha256 -days 3650 -out ca.crt -subj "/C=US/ST=State/L=City/O=Org/CN=Internal CA"

ca.crt dosyası, yakalama kapsamındaki tüm istemci cihazlara dağıtılmalı ve güvenilir olarak işaretlenmelidir.

Proxy yazılımı yapılandırması (kavramsal reverse proxy olarak Nginx örneği)

Nginx esas olarak bir reverse proxy olsa da SSL/TLS offloading ve inceleme yetenekleri bu prensipleri iyi gösterir. Forward proxy için SSL Bump özellikli Squid gibi özel yazılımlar veya ticari güvenlik ağ geçitleri kullanılır.

# SSL/TLS offloading için örnek Nginx yapılandırması (reverse proxy)
server {
    listen 443 ssl;
    server_name www.example.com;

    ssl_certificate /etc/nginx/certs/www.example.com.crt;
    ssl_certificate_key /etc/nginx/certs/www.example.com.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "HIGH:!aNULL:!MD5";

    # İstekleri arka uç uygulama sunucularına yönlendir
    location / {
        proxy_pass http://backend_servers;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Forward proxy ile tam bir SSL/TLS yakalama senaryosunda proxy yazılımı, istenen her alan adı için www.example.com.crt ve www.example.com.key dosyalarını anlık olarak üretir ve bunları kendi ca.key dosyasıyla imzalar.