Ubuntu 22.04’te Apache için Kendi Kendine İmzalanmış (Self-Signed) Bir SSL Sertifikası Nasıl Oluşturulur?
Giriş
Günümüzün dijital dünyasında, web sitelerinin güvenliği kullanıcı güvenini sağlamak ve veri bütünlüğünü korumak için hayati öneme sahiptir. Güvenli Yuva Katmanı (SSL) veya daha yeni adıyla Taşıma Katmanı Güvenliği (TLS) protokolleri, bir web sunucusu ile bir web tarayıcısı arasındaki şifreli iletişimi sağlayarak bu güvenliği mümkün kılar. SSL/TLS sertifikaları, bu şifreleme anahtarlarını ve sunucunun kimlik bilgilerini içerir.
Bir SSL sertifikası, bir web sitesinin kimliğini doğrular ve sunucu ile istemci arasındaki tüm iletişimi şifreler. Bu, hassas bilgilerin (kullanıcı adları, şifreler, kredi kartı bilgileri vb.) üçüncü şahıslar tarafından ele geçirilmesini önler. Genellikle, bu sertifikalar güvenilir bir Sertifika Yetkilisi (CA) tarafından verilir ve bu yetkililer, tarayıcılar ve işletim sistemleri tarafından otomatik olarak güvenilir kabul edilir.
Ancak, geliştirme ortamları, dahili test sunucuları veya belirli özel kullanım senaryoları için, bir CA’dan sertifika almak her zaman gerekli veya pratik olmayabilir. İşte bu noktada “kendi kendine imzalanmış” (self-signed) SSL sertifikaları devreye girer. Kendi kendine imzalanmış bir sertifika, herhangi bir üçüncü taraf CA tarafından doğrulanmamış, doğrudan sizin tarafınızdan oluşturulmuş ve imzalanmış bir sertifikadır. Bu, sertifikayı oluşturan kişi veya kuruluşun aynı zamanda sertifikayı imzalayan kişi veya kuruluş olduğu anlamına gelir.
Kendi kendine imzalanmış sertifikaların temel avantajı, ücretsiz olmaları ve anında oluşturulabilmeleridir. Ancak, büyük bir dezavantajı vardır: tarayıcılar ve işletim sistemleri tarafından varsayılan olarak güvenilmezler. Bu, kendi kendine imzalanmış bir sertifika kullanan bir siteye eriştiğinizde, tarayıcınızın bir güvenlik uyarısı göstermesine neden olur. Bu uyarı, tarayıcının sunucunun kimliğini doğrulayamadığını ve potansiyel bir risk olduğunu belirtir. Üretim ortamlarında, özellikle genel kullanıma açık web sitelerinde, bu tür bir uyarı kullanıcıların sitenizden uzaklaşmasına neden olacağından kesinlikle önerilmez.
Bu makalede, Ubuntu 22.04 işletim sistemi üzerinde çalışan bir Apache web sunucusu için kendi kendine imzalanmış bir SSL sertifikasının nasıl oluşturulacağını ve yapılandırılacağını adım adım açıklayacağız. Bu kılavuz, özellikle geliştirme, test veya dahili ağ ortamları için güvenli bir HTTPS bağlantısı kurmak isteyenler için idealdir.
Ön Koşullar
Bu rehbere başlamadan önce, aşağıdaki ön koşulların yerine getirildiğinden emin olun:
* Ubuntu 22.04 Sunucusu: Bir Ubuntu 22.04 işletim sistemi kurulu sunucuya erişiminiz olmalı.
* Sudo Yetkileri: Komutları çalıştırmak için sudo yetkilerine sahip, root olmayan bir kullanıcı hesabınız olmalı.
* Apache Web Sunucusu: Sunucunuzda Apache web sunucusunun kurulu ve çalışır durumda olması gerekmektedir. Eğer kurulu değilse, aşağıdaki komutlarla kurabilirsiniz:
sudo apt update
sudo apt install apache2* Güvenlik Duvarı (UFW): Eğer UFW güvenlik duvarı etkinse, HTTP (80) ve HTTPS (443) portlarının açık olduğundan emin olmalısınız. (Bu adımı daha sonra detaylandıracağız.)
Adım 1: Gerekli Paketleri Kurma
SSL sertifikaları oluşturmak için OpenSSL aracına ihtiyacımız var. Apache web sunucusu da kurulu olmalı. Genellikle, bu paketler Ubuntu sistemlerinde varsayılan olarak bulunur, ancak emin olmak için aşağıdaki komutları çalıştırarak güncelleyebilir ve eksik paketleri kurabilirsiniz:
sudo apt update
sudo apt install apache2 opensslBu komut, sistemdeki paket listesini günceller ve Apache ile OpenSSL paketlerinin kurulu olduğundan emin olur. Eğer zaten kuruluysalar, sistem size bunu bildirecektir.
Adım 2: SSL Sertifikası ve Özel Anahtar Oluşturma
Şimdi, kendi kendine imzalanmış SSL sertifikamızı ve bu sertifika ile eşleşen özel anahtarımızı oluşturacağız. Bu işlem için openssl komutunu kullanacağız.
Sertifika Bilgilerini Anlama
Sertifika oluştururken, bazı bilgileri girmeniz istenecektir. Bu bilgiler sertifikanın “kimlik” bilgilerini oluşturur. İşte temel alanlar:
* Country Name (2 letter code) [AU]: Ülke kodu (örn: TR, US).
* State or Province Name (full name) [Some-State]: Eyalet veya il adı (örn: İstanbul, Ankara).
* Locality Name (eg, city) []: Şehir adı (örn: Kadıköy, Çankaya).
* Organization Name (eg, company) [Internet Widgits Pty Ltd]: Kuruluş adı (örn: MyCompany Inc.).
* Organizational Unit Name (eg, section) []: Kuruluş birimi adı (örn: IT Department).
* Common Name (e.g. server FQDN or YOUR name) []: Bu, sertifikanın en önemli alanıdır. Web sitenizin alan adını (örn: www.example.com) veya sunucunuzun IP adresini girmelisiniz. Tarayıcılar, bu alandaki değeri erişmeye çalıştığınız adresle karşılaştırır. Eğer bir alan adı kullanmıyorsanız ve sadece IP adresi ile erişecekseniz, buraya sunucunuzun IP adresini girin.
* Email Address []: İletişim e-posta adresi.
Sertifika Oluşturma Komutu
Aşağıdaki openssl komutu, hem özel anahtarı hem de sertifikayı aynı anda oluşturacaktır:
sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/apache-selfsigned.key -out /etc/ssl/certs/apache-selfsigned.crtŞimdi bu komutu parçalara ayıralım:
* sudo openssl: openssl aracını yönetici yetkileriyle çalıştırır.
* req: Bir Sertifika İmzalama İsteği (CSR) oluşturmak veya bir X.509 sertifikası oluşturmak için kullanılır.
* -x509: Bu seçenek, doğrudan bir X.509 sertifikası oluşturduğumuzu belirtir (bir CSR yerine). Bu, kendi kendine imzalanmış bir sertifika oluşturmak için gereklidir.
* -nodes: “No DES” anlamına gelir. Bu, özel anahtarın bir parola ile şifrelenmeyeceği anlamına gelir. Bu, Apache’nin her yeniden başlatıldığında bir parola sormasını engeller, ancak anahtarın çalınması durumunda daha az güvenli hale getirir. Geliştirme ortamları için genellikle kabul edilebilir.
* -days 365: Sertifikanın geçerlilik süresini gün olarak belirtir. Burada 365 gün (bir yıl) olarak ayarlandı.
* -newkey rsa:2048: Yeni bir özel anahtar oluşturur. rsa:2048 anahtarın RSA algoritmasını ve 2048 bit uzunluğunu kullanacağını belirtir. 2048 bit, günümüzde genel olarak güvenli kabul edilen bir anahtar uzunluğudur.
* -keyout /etc/ssl/private/apache-selfsigned.key: Oluşturulan özel anahtarın kaydedileceği yolu ve dosya adını belirtir. /etc/ssl/private/ dizini, özel anahtarlar için standart ve güvenli bir konumdur.
* -out /etc/ssl/certs/apache-selfsigned.crt: Oluşturulan SSL sertifikasının kaydedileceği yolu ve dosya adını belirtir. /etc/ssl/certs/ dizini, sertifikalar için standart bir konumdur.
Komutu çalıştırdığınızda, yukarıda bahsettiğimiz sertifika bilgilerini girmeniz istenecektir:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:TR
State or Province Name (full name) [Some-State]:Istanbul
Locality Name (eg, city) []:Kadıköy
Organization Name (eg, company) [Internet Widgits Pty Ltd]:MyDevelopment
Organizational Unit Name (eg, section) []:IT
Common Name (e.g. server FQDN or YOUR name) []:your_server_ip_or_domain
Email Address []:admin@your_domain.comÖnemli Not: Common Name alanına, sunucunuza erişmek için kullanacağınız tam alan adını (FQDN) veya IP adresini girmeniz çok önemlidir. Eğer bir alan adınız yoksa ve sunucuya IP adresiyle erişiyorsanız, buraya sunucunuzun IP adresini girin. Aksi takdirde, tarayıcınız yine bir uyarı gösterecektir (alan adı uyuşmazlığı nedeniyle).
Sertifika ve özel anahtar oluşturulduktan sonra, özel anahtar dosyasının doğru izinlere sahip olduğundan emin olmalıyız. Özel anahtar, hassas bir dosyadır ve yalnızca root kullanıcısı tarafından okunabilir olmalıdır.
sudo chmod 600 /etc/ssl/private/apache-selfsigned.keyBu komut, /etc/ssl/private/apache-selfsigned.key dosyasının yalnızca sahibinin (root) okuma ve yazma iznine sahip olmasını sağlar.
Adım 3: Apache’yi SSL Kullanacak Şekilde Yapılandırma
Sertifikamız hazır olduğuna göre, şimdi Apache’yi bu sertifikayı kullanacak şekilde yapılandırmamız gerekiyor.
SSL Modülünü Etkinleştirme
Apache’nin SSL bağlantılarını işleyebilmesi için ssl modülünün etkinleştirilmesi gerekir. Bu modülü aşağıdaki komutla etkinleştirebilirsiniz:
sudo a2enmod sslBu komut, SSL modülünü etkinleştirir. Ardından, Apache’nin yeni yapılandırmayı yüklemesi için yeniden başlatılması gerekir:
sudo systemctl restart apache2Sanal Host Dosyası Oluşturma/Düzenleme
Apache, farklı alan adları veya IP adresleri için farklı web sitelerini barındırmak üzere “Sanal Hostlar” kullanır. SSL’i etkinleştirmek için, web sitenizin SSL yapılandırmasını içeren bir sanal host dosyası oluşturmanız veya düzenlemeniz gerekir.
Ubuntu’da Apache, sanal host yapılandırmalarını /etc/apache2/sites-available/ dizininde saklar. Etkinleştirilen sanal hostlar ise /etc/apache2/sites-enabled/ dizininde sembolik bağlantılar olarak bulunur.
Varsayılan SSL Sanal Host Dosyası
Apache, genellikle SSL için bir varsayılan sanal host dosyası sağlar: /etc/apache2/sites-available/default-ssl.conf. Bu dosyayı kendi sertifikalarınızla kullanmak üzere düzenleyebilirsiniz.
Dosyayı bir metin düzenleyici ile açın:
sudo nano /etc/apache2/sites-available/default-ssl.confBu dosyanın içeriği genellikle aşağıdaki gibi bir yapıya sahiptir:
ServerAdmin webmaster@localhost
DocumentRoot /var/www/html
ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined
SSLEngine on
SSLCertificateFile /etc/ssl/certs/ssl-cert-snakeoil.pem
SSLCertificateKeyFile /etc/ssl/private/ssl-cert-snakeoil.key
SSLOptions +StdEnvVars
SSLOptions +StdEnvVars
Bu dosyada yapmanız gereken değişiklikler şunlardır:
1. SSLCertificateFile ve SSLCertificateKeyFile satırlarını kendi oluşturduğunuz sertifika ve anahtar dosyalarının yollarıyla güncelleyin:
SSLCertificateFile /etc/ssl/certs/apache-selfsigned.crt
SSLCertificateKeyFile /etc/ssl/private/apache-selfsigned.key2. ServerName direktifini ekleyerek sunucunuzun alan adını veya IP adresini belirtin. Bu, özellikle birden fazla sanal hostunuz varsa önemlidir:
ServerName your_server_ip_or_domain (Burada your_server_ip_or_domain yerine kendi sunucunuzun IP adresini veya alan adını yazın.)
3. İsteğe bağlı olarak, DocumentRoot‘u web sitenizin dosyalarının bulunduğu dizine ayarlayabilirsiniz (varsayılan /var/www/html genellikle yeterlidir).
Değişiklikleri kaydettikten sonra (Nano’da Ctrl+O, Enter, Ctrl+X), bu sanal host dosyasını etkinleştirmeniz gerekir:
sudo a2ensite default-ssl.confEğer zaten etkinse, sistem size bunu bildirecektir.
Yeni Bir Sanal Host Dosyası Oluşturma
Eğer varsayılan default-ssl.conf dosyasını kullanmak istemiyor veya mevcut bir HTTP sanal hostunuz için SSL’i etkinleştirmek istiyorsanız, yeni bir dosya oluşturabilir veya mevcut olanı kopyalayabilirsiniz.
Örneğin, mevcut 000-default.conf dosyasını kopyalayarak yeni bir SSL sanal host dosyası oluşturabiliriz:
sudo cp /etc/apache2/sites-available/000-default.conf /etc/apache2/sites-available/yourdomain.com-ssl.confArdından, yeni oluşturduğunuz yourdomain.com-ssl.conf dosyasını düzenleyin:
sudo nano /etc/apache2/sites-available/yourdomain.com-ssl.confBu dosyanın içeriğini SSL için yapılandırmanız gerekecek. Aşağıdaki örnek bir yapılandırmadır:
ServerAdmin webmaster@localhost
ServerName your_server_ip_or_domain
DocumentRoot /var/www/html
ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined
SSLEngine on
SSLCertificateFile /etc/ssl/certs/apache-selfsigned.crt
SSLCertificateKeyFile /etc/ssl/private/apache-selfsigned.key
SSLOptions +StdEnvVars
SSLOptions +StdEnvVars
Opsiyonel: HTTP'den HTTPS'e yönlendirme
ServerName your_server_ip_or_domain
Redirect permanent / https://your_server_ip_or_domain/
Açıklamalar:
* ServerName your_server_ip_or_domain: Sunucunuzun IP adresi veya alan adı. Bu, Common Name alanına girdiğiniz değerle eşleşmelidir.
* DocumentRoot /var/www/html: Web sitenizin dosyalarının bulunduğu dizin.
* SSLEngine on: Bu direktif, SSL’i bu sanal host için etkinleştirir.
* SSLCertificateFile ve SSLCertificateKeyFile: Oluşturduğunuz sertifika ve özel anahtar dosyalarının yolları.
HTTP’den HTTPS’e yönlendirme bloğu (port 80 için olan VirtualHost), kullanıcıların http:// ile sitenize erişmeye çalıştıklarında otomatik olarak https:// sürümüne yönlendirilmesini sağlar. Bu iyi bir uygulamadır.
Değişiklikleri kaydettikten sonra, yeni sanal host dosyasını etkinleştirin:
sudo a2ensite yourdomain.com-ssl.confYapılandırmayı Test Etme ve Yeniden Başlatma
Apache yapılandırmanızda herhangi bir hata olup olmadığını kontrol etmek için aşağıdaki komutu kullanın:
sudo apache2ctl configtestEğer her şey yolundaysa, Syntax OK mesajını görmelisiniz. Herhangi bir hata varsa, nano ile sanal host dosyanızı tekrar açıp hataları düzeltin.
Yapılandırma testi başarılı olduktan sonra, Apache servisini yeniden başlatarak değişikliklerin uygulanmasını sağlayın:
sudo systemctl restart apache2Adım 4: Güvenlik Duvarını Yapılandırma
Eğer Ubuntu sunucunuzda UFW (Uncomplicated Firewall) etkinse, HTTPS trafiğine izin vermeniz gerekir. Apache kurulumu genellikle UFW için önceden tanımlanmış profillerle gelir.
Mevcut UFW profillerini kontrol edin:
sudo ufw app listÇıktıda Apache Full profilini görmelisiniz. Bu profil hem HTTP (port 80) hem de HTTPS (port 443) trafiğine izin verir. Eğer sadece HTTPS’e izin vermek istiyorsanız Apache Secure profilini kullanabilirsiniz.
HTTPS trafiğine izin vermek için Apache Full profilini etkinleştirin:
sudo ufw allow 'Apache Full'Güvenlik duvarının durumunu kontrol ederek değişikliklerin uygulandığından emin olun:
sudo ufw statusStatus: active altında Apache Full veya 443/tcp (Apache Secure) gibi bir kural görmelisiniz.
Adım 5: Sertifikayı Test Etme
Artık her şey ayarlandığına göre, web tarayıcınızı açın ve sunucunuzun IP adresine veya alan adına https:// önekiyle erişmeye çalışın:
https://your_server_ip_or_domainTarayıcı Uyarısını Anlama
Beklendiği gibi, tarayıcınız büyük olasılıkla bir güvenlik uyarısı gösterecektir. Bu uyarı, “Bağlantınız gizli değil”, “Bu site güvenli değil” veya “Potansiyel Güvenlik Riski” gibi ifadelerle karşınıza çıkabilir. Örneğin, Chrome’da “Your connection is not private”, Firefox’ta “Potential Security Risk Ahead” mesajını görebilirsiniz.
Bu uyarı, kendi kendine imzalanmış sertifikaların beklenen bir sonucudur. Tarayıcınız, sertifikayı veren kuruluşu (yani sizi) tanımadığı için ona güvenmez. Bu, sertifikanın kötü niyetli olduğu anlamına gelmez, sadece üçüncü bir tarafça doğrulanmadığı anlamına gelir.
Bu uyarıyı aşmak için genellikle “Gelişmiş” (Advanced) seçeneğine tıklamanız ve ardından “Devam et” (Proceed to your_server_ip_or_domain (unsafe)) veya benzeri bir seçeneği seçmeniz gerekir. Bu işlemi yaptıktan sonra web sitenize erişebileceksiniz. Tarayıcınızın adres çubuğunda genellikle bir “kilit” simgesi yerine bir “güvenli değil” veya “dikkat” simgesi göreceksiniz. Bu, bağlantının şifrelendiği ancak sertifikanın doğrulanmadığı anlamına gelir.
Sertifikayı Tarayıcıya Ekleme (İsteğe Bağlı)
Eğer bu uyarıyı sürekli görmek istemiyorsanız (örneğin, sadece kendi geliştirme ortamınızda çalışıyorsanız), kendi kendine imzalanmış sertifikayı tarayıcınızın veya işletim sisteminizin güvenilir sertifikalar listesine manuel olarak ekleyebilirsiniz. Bu işlem, her tarayıcı ve işletim sistemi için farklılık gösterir ve genellikle şu adımları içerir:
1. Web sitesine erişirken gördüğünüz sertifika uyarısı sayfasından sertifikayı dışa aktarın.
2. İşletim sisteminizin veya tarayıcınızın sertifika yönetimi bölümüne gidin.
3. Dışa aktardığınız .crt dosyasını “Güvenilir Kök Sertifika Yetkilileri” veya benzeri bir kategoriye içe aktarın.
Bu adımlar, uyarının ortadan kalkmasını sağlar, ancak yalnızca sizin bilgisayarınızda geçerli olacaktır. Başka bir kullanıcı veya bilgisayar sitenize eriştiğinde aynı uyarıyı görecektir.
Kendi Kendine İmzalanmış Sertifikaların Sınırlamaları ve Alternatifler
Kendi kendine imzalanmış sertifikalar, geliştirme ve test ortamları için pratik bir çözüm sunarken, üretim ortamları için ciddi sınırlamalara sahiptir:
1. Tarayıcı Uyarıları: En belirgin sınırlama, kullanıcıların sürekli olarak güvenlik uyarıları görmesidir. Bu, profesyonel olmayan bir izlenim yaratır ve kullanıcıların sitenize güvenmesini engeller.
2. Güven Eksikliği: Tarayıcılar ve işletim sistemleri, kendi kendine imzalanmış sertifikalara otomatik olarak güvenmez. Bu, sertifikanın kimliğini doğrulayan bir CA’nın olmamasından kaynaklanır.
3. API ve Uygulama Entegrasyonları: Bazı API’ler, mobil uygulamalar veya diğer yazılım entegrasyonları, sunucunun sertifikasının güvenilir bir CA tarafından imzalanmış olmasını bekler. Kendi kendine imzalanmış sertifikalarla bu entegrasyonlar başarısız olabilir veya ek yapılandırma gerektirebilir.
Üretim ortamları için, kendi kendine imzalanmış sertifikalar yerine güvenilir bir Sertifika Yetkilisi (CA) tarafından verilmiş sertifikalar kullanmalısınız. En popüler ve önerilen alternatiflerden bazıları şunlardır:
* Let’s Encrypt: Ücretsiz, otomatik ve açık bir Sertifika Yetkilisidir. Let’s Encrypt sertifikaları, tüm modern tarayıcılar tarafından güvenilir kabul edilir ve Certbot aracı ile kolayca kurulup yenilenebilir. Genel kullanıma açık web siteleri için en iyi ve en yaygın çözümdür.
* Ticari CA’lar: DigiCert, Sectigo, GoDaddy gibi ticari CA’lar, farklı seviyelerde doğrulama ve garanti sunan ücretli sertifikalar sağlarlar (Domain Validation, Organization Validation, Extended Validation). Büyük işletmeler ve özel gereksinimleri olan kuruluşlar için uygundur.
Bu makalede anlatılan kendi kendine imzalanmış sertifika oluşturma süreci, sadece belirli kullanım durumları için bir araçtır ve genel internet kullanıcılarına açık üretim siteleri için asla kullanılmamalıdır.
Sonuç
Bu makalede, Ubuntu 22.04 işletim sistemi üzerinde Apache web sunucusu için kendi kendine imzalanmış bir SSL sertifikasının nasıl oluşturulacağını ve yapılandırılacağını ayrıntılı olarak inceledik. openssl aracıyla sertifika ve özel anahtar oluşturmaktan, Apache sanal hostunu yapılandırmaya ve güvenlik duvarı ayarlarını yapmaya kadar tüm adımları tamamladık.
Kendi kendine imzalanmış sertifikalar, geliştirme, test ve dahili ağ ortamlarında HTTPS şifrelemesi sağlamak için hızlı ve maliyetsiz bir yol sunar. Ancak, tarayıcıların gösterdiği güvenlik uyarıları nedeniyle genel kullanıma açık üretim siteleri için uygun değildirler. Üretim ortamları için Let’s Encrypt gibi ücretsiz ve güvenilir alternatifleri veya ticari Sertifika Yetkililerinden alınan sertifikaları tercih etmek her zaman en iyi yaklaşımdır.
Bu rehberin, kendi kendine imzalanmış bir SSL sertifikasını başarıyla kurmanızda ve Apache sunucunuzda HTTPS’i etkinleştirmenizde size yardımcı olduğunu umuyoruz.