G\u00fcn\u00fcm\u00fcz internet d\u00fcnyas\u0131nda g\u00fcvenlik, web uygulamalar\u0131 ve sunucular i\u00e7in vazge\u00e7ilmez bir unsurdur. Kullan\u0131c\u0131 verilerinin korunmas\u0131, veri b\u00fct\u00fcnl\u00fc\u011f\u00fcn\u00fcn sa\u011flanmas\u0131 ve sunucu ile istemci aras\u0131ndaki ileti\u015fimin \u015fifrelenmesi, modern web standartlar\u0131n\u0131n temelini olu\u015fturur. Bu ba\u011flamda, Secure Sockets Layer (SSL) ve onun daha modern halefi Transport Layer Security (TLS) protokolleri, web trafi\u011fini \u015fifrelemek i\u00e7in kullan\u0131lan kritik teknolojilerdir. Bir SSL\/TLS sertifikas\u0131, bir web sitesinin kimli\u011fini do\u011frular ve sunucu ile taray\u0131c\u0131 aras\u0131nda \u015fifreli bir ba\u011flant\u0131 kurulmas\u0131n\u0131 sa\u011flar. Bu sayede, hassas bilgiler (kredi kart\u0131 numaralar\u0131, parolalar vb.) k\u00f6t\u00fc niyetli \u00fc\u00e7\u00fcnc\u00fc \u015fah\u0131slar taraf\u0131ndan ele ge\u00e7irilmeye kar\u015f\u0131 korunmu\u015f olur.<\/p>\n
Nginx, y\u00fcksek performansl\u0131, kararl\u0131 ve esnek bir web sunucusu ve ters proxy’dir. D\u00fcnya genelindeki en pop\u00fcler web sunucular\u0131ndan biri olan Nginx, statik i\u00e7erik sunmaktan dinamik uygulamalar\u0131 y\u00f6netmeye kadar geni\u015f bir yelpazede kullan\u0131lmaktad\u0131r. Ubuntu 16.04 ise, kararl\u0131l\u0131\u011f\u0131 ve geni\u015f paket deste\u011fi ile sunucu ortamlar\u0131 i\u00e7in s\u0131k\u00e7a tercih edilen bir Linux da\u011f\u0131t\u0131m\u0131d\u0131r. Bu makale, Ubuntu 16.04 \u00fczerinde \u00e7al\u0131\u015fan bir Nginx sunucusu i\u00e7in kendi imzal\u0131 (self-signed) SSL sertifikas\u0131 olu\u015fturma ve yap\u0131land\u0131rma s\u00fcrecini ad\u0131m ad\u0131m detayland\u0131racakt\u0131r. Kendi imzal\u0131 sertifikalar, genellikle geli\u015ftirme ortamlar\u0131nda, dahili a\u011flarda veya test ama\u00e7l\u0131 kullan\u0131l\u0131r, zira taray\u0131c\u0131lar taraf\u0131ndan otomatik olarak g\u00fcvenilir kabul edilmezler ve bir uyar\u0131 mesaj\u0131 g\u00f6sterirler. Ancak, temel SSL\/TLS i\u015flevselli\u011fini anlamak ve uygulamak i\u00e7in m\u00fckemmel bir ba\u015flang\u0131\u00e7 noktas\u0131 sunarlar. Bu makale boyunca, OpenSSL arac\u0131n\u0131 kullanarak bir \u00f6zel anahtar ve sertifika olu\u015fturacak, Nginx’i bu sertifikay\u0131 kullanacak \u015fekilde yap\u0131land\u0131racak ve son olarak kurulumu test edece\u011fiz.<\/p>\n
SSL\/TLS sertifikalar\u0131 genellikle Let’s Encrypt gibi \u00fccretsiz sertifika sa\u011flay\u0131c\u0131lar\u0131ndan veya Comodo, DigiCert gibi ticari Sertifika Yetkililerinden (CA) al\u0131n\u0131r. Bu sertifikalar, taray\u0131c\u0131lar taraf\u0131ndan otomatik olarak g\u00fcvenilir kabul edilir \u00e7\u00fcnk\u00fc sertifikay\u0131 veren CA, taray\u0131c\u0131lar\u0131n g\u00fcvendi\u011fi bir k\u00f6k sertifika otoritesidir. Ancak, kendi imzal\u0131 sertifikalar\u0131n da belirli kullan\u0131m durumlar\u0131 ve avantajlar\u0131 vard\u0131r:<\/p>\n
* Maliyet Etkinli\u011fi:<\/strong> Kendi imzal\u0131 sertifikalar \u00fccretsizdir. Bir sertifika yetkilisine \u00f6deme yapman\u0131za gerek kalmaz. Ancak, kendi imzal\u0131 sertifikalar\u0131n \u00f6nemli bir dezavantaj\u0131 vard\u0131r: taray\u0131c\u0131lar taraf\u0131ndan g\u00fcvenilir kabul edilmezler. Bir kullan\u0131c\u0131 kendi imzal\u0131 sertifika kullanan bir siteye eri\u015fti\u011finde, taray\u0131c\u0131 genellikle “Ba\u011flant\u0131n\u0131z g\u00fcvenli de\u011fil” veya benzeri bir uyar\u0131 mesaj\u0131 g\u00f6sterir. Bu, sertifikan\u0131n bir CA taraf\u0131ndan do\u011frulanmad\u0131\u011f\u0131 ve dolay\u0131s\u0131yla site kimli\u011finin garanti edilmedi\u011fi anlam\u0131na gelir. \u00dcretim ortamlar\u0131nda, \u00f6zellikle genel kullan\u0131ma a\u00e7\u0131k web sitelerinde, bu uyar\u0131 kullan\u0131c\u0131 g\u00fcvenini zedeleyece\u011fi i\u00e7in kesinlikle ticari veya Let’s Encrypt gibi \u00fccretsiz CA sertifikalar\u0131 tercih edilmelidir.<\/p>\n Bu makaledeki ad\u0131mlar\u0131 uygulayabilmek i\u00e7in a\u015fa\u011f\u0131daki \u00f6nko\u015fullara sahip olman\u0131z gerekmektedir:<\/p>\n * Ubuntu 16.04 Sunucusu:<\/strong> Bu makale, Ubuntu 16.04 i\u015fletim sistemi \u00fczerinde \u00e7al\u0131\u015fmak \u00fczere tasarlanm\u0131\u015ft\u0131r. Farkl\u0131 bir Linux da\u011f\u0131t\u0131m\u0131 veya s\u00fcr\u00fcm\u00fc kullan\u0131yorsan\u0131z, baz\u0131 komutlar veya dosya yollar\u0131 farkl\u0131l\u0131k g\u00f6sterebilir. E\u011fer Nginx sunucunuzda kurulu de\u011filse, a\u015fa\u011f\u0131daki ad\u0131mlar\u0131 izleyerek kurabilirsiniz. \u0130lk olarak, paket listesini g\u00fcncelleyelim ve ard\u0131ndan Nginx’i kural\u0131m:<\/p>\n Kurulum tamamland\u0131ktan sonra, Nginx servisinin otomatik olarak ba\u015flamas\u0131 gerekir. Durumunu kontrol etmek i\u00e7in a\u015fa\u011f\u0131daki komutu kullanabilirsiniz:<\/p>\n \u00c7\u0131kt\u0131da SSL sertifikalar\u0131 ve \u00f6zel anahtarlar\u0131n saklanmas\u0131 i\u00e7in genellikle Bu komut, \u015eimdi OpenSSL arac\u0131n\u0131 kullanarak kendi imzal\u0131 SSL sertifikam\u0131z\u0131 ve \u00f6zel anahtar\u0131m\u0131z\u0131 olu\u015fturaca\u011f\u0131z. OpenSSL, \u015fifreleme ve sertifika y\u00f6netimi i\u00e7in g\u00fc\u00e7l\u00fc ve \u00e7ok y\u00f6nl\u00fc bir komut sat\u0131r\u0131 arac\u0131d\u0131r.<\/p>\n A\u015fa\u011f\u0131daki komutu kullanarak hem \u00f6zel anahtar\u0131 hem de sertifikay\u0131 tek bir ad\u0131mda olu\u015fturabiliriz:<\/p>\n Bu komutu \u00e7al\u0131\u015ft\u0131rd\u0131\u011f\u0131n\u0131zda, size sertifika bilgileriyle ilgili baz\u0131 sorular sorulacakt\u0131r. Bu sorulara verece\u011finiz cevaplar sertifikan\u0131n i\u00e7eri\u011finde yer alacakt\u0131r.<\/p>\n Komut \u00e7al\u0131\u015ft\u0131r\u0131ld\u0131ktan sonra a\u015fa\u011f\u0131daki gibi bir dizi soru ile kar\u015f\u0131la\u015facaks\u0131n\u0131z:<\/p>\n Bu alanlar\u0131 kendi bilgilerinize g\u00f6re doldurabilirsiniz. Yukar\u0131daki OpenSSL komutunda kullan\u0131lan parametrelerin anlamlar\u0131 \u015funlard\u0131r:<\/p>\n * Bu ad\u0131mlar\u0131 tamamlad\u0131\u011f\u0131n\u0131zda, Sertifikam\u0131z ve \u00f6zel anahtar\u0131m\u0131z haz\u0131r oldu\u011funa g\u00f6re, Nginx’i bu dosyalar\u0131 kullanarak HTTPS trafi\u011fini sunacak \u015fekilde yap\u0131land\u0131rmam\u0131z gerekiyor. Nginx yap\u0131land\u0131rmalar\u0131 genellikle En iyi uygulama, mevcut varsay\u0131lan yap\u0131land\u0131rmay\u0131 de\u011fi\u015ftirmek yerine, yeni bir sunucu blo\u011fu dosyas\u0131 olu\u015fturmakt\u0131r. Bu, yap\u0131land\u0131rmalar\u0131n\u0131z\u0131 daha d\u00fczenli tutman\u0131za yard\u0131mc\u0131 olur.<\/p>\n Yeni bir yap\u0131land\u0131rma dosyas\u0131 olu\u015ftural\u0131m:<\/p>\n A\u00e7\u0131lan bo\u015f dosyaya a\u015fa\u011f\u0131daki yap\u0131land\u0131rmay\u0131 yap\u0131\u015ft\u0131r\u0131n. Bu yap\u0131land\u0131rma, HTTP (port 80) trafi\u011fini HTTPS’e (port 443) y\u00f6nlendirecek ve HTTPS ba\u011flant\u0131lar\u0131n\u0131 yap\u0131land\u0131rd\u0131\u011f\u0131m\u0131z kendi imzal\u0131 sertifika ile sunacakt\u0131r.<\/p>\n \u00d6nemli Not:<\/strong> Yap\u0131land\u0131rmay\u0131 kaydettikten sonra (Nano’da Bu komutlar, yeni olu\u015fturdu\u011fumuz Yukar\u0131daki Nginx yap\u0131land\u0131rmas\u0131nda kullan\u0131lan baz\u0131 \u00f6nemli y\u00f6nergeleri a\u00e7\u0131klayal\u0131m:<\/p>\n * Bu yap\u0131land\u0131rma, modern g\u00fcvenlik standartlar\u0131na uygun ve iyi yap\u0131land\u0131r\u0131lm\u0131\u015f bir HTTPS sunumu i\u00e7in sa\u011flam bir temel olu\u015fturur.<\/p>\n Nginx yap\u0131land\u0131rma dosyas\u0131n\u0131 d\u00fczenledikten sonra, herhangi bir s\u00f6zdizimi hatas\u0131 olup olmad\u0131\u011f\u0131n\u0131 kontrol etmek \u00e7ok \u00f6nemlidir. Hatal\u0131 bir yap\u0131land\u0131rma Nginx’in ba\u015flamas\u0131n\u0131 engelleyebilir.<\/p>\n Yap\u0131land\u0131rmay\u0131 test etmek i\u00e7in a\u015fa\u011f\u0131daki komutu kullan\u0131n:<\/p>\n E\u011fer her \u015fey yolundaysa, a\u015fa\u011f\u0131daki gibi bir \u00e7\u0131kt\u0131 g\u00f6rmelisiniz:<\/p>\n Herhangi bir hata mesaj\u0131 al\u0131rsan\u0131z, yap\u0131land\u0131rma dosyan\u0131z\u0131 dikkatlice kontrol edin ve hatalar\u0131 d\u00fczeltin. Genellikle noktal\u0131 virg\u00fcl eksikli\u011fi veya yanl\u0131\u015f yaz\u0131lm\u0131\u015f y\u00f6nergeler yayg\u0131n hatalard\u0131r.<\/p>\n Yap\u0131land\u0131rma testi ba\u015far\u0131l\u0131 olduktan sonra, Nginx servisini yeniden ba\u015flatarak yeni ayarlar\u0131n etkinle\u015fmesini sa\u011flay\u0131n:<\/p>\n \u015eimdi web taray\u0131c\u0131n\u0131zdan sunucunuzun alan ad\u0131na veya IP adresine E\u011fer sunucunuzda bir g\u00fcvenlik duvar\u0131 (\u00f6rne\u011fin UFW) etkinse, HTTPS trafi\u011fi i\u00e7in 443 numaral\u0131 portun a\u00e7\u0131k oldu\u011fundan emin olman\u0131z gerekir. Ubuntu 16.04’te UFW (Uncomplicated Firewall) genellikle varsay\u0131lan olarak gelir ve Nginx kurulumu s\u0131ras\u0131nda baz\u0131 kurallar ekleyebilir.<\/p>\n Mevcut UFW durumunu kontrol etmek i\u00e7in:<\/p>\n E\u011fer 443 portu a\u00e7\u0131k de\u011filse veya Nginx’in HTTPS profili etkin de\u011filse, a\u015fa\u011f\u0131daki komutlarla izin verebilirsiniz:<\/p>\n E\u011fer HTTP’den HTTPS’ye y\u00f6nlendirme yap\u0131yorsan\u0131z ve HTTP trafi\u011fini kabul etmek istemiyorsan\u0131z, Nginx HTTP profilini devre d\u0131\u015f\u0131 b\u0131rakabilirsiniz:<\/p>\n Ard\u0131ndan UFW durumunu tekrar kontrol ederek de\u011fi\u015fikliklerin uyguland\u0131\u011f\u0131ndan emin olun.<\/p>\n Kendi imzal\u0131 SSL sertifikas\u0131 kulland\u0131\u011f\u0131n\u0131zda, web taray\u0131c\u0131n\u0131z b\u00fcy\u00fck olas\u0131l\u0131kla bir g\u00fcvenlik uyar\u0131s\u0131 g\u00f6sterecektir. Bu, sertifikan\u0131n bir Sertifika Yetkilisi (CA) taraf\u0131ndan do\u011frulanmad\u0131\u011f\u0131 ve taray\u0131c\u0131n\u0131n otomatik olarak g\u00fcvenmedi\u011fi anlam\u0131na gelir. Bu durum beklenen bir davran\u0131\u015ft\u0131r ve sertifikan\u0131z\u0131n hatal\u0131 oldu\u011fu anlam\u0131na gelmez.<\/p>\n Web taray\u0131c\u0131lar\u0131, \u00f6nceden tan\u0131mlanm\u0131\u015f ve g\u00fcvenilir kabul edilen bir dizi k\u00f6k sertifika yetkilisi (CA) listesiyle birlikte gelir. Bir web sitesine HTTPS \u00fczerinden ba\u011flan\u0131ld\u0131\u011f\u0131nda, taray\u0131c\u0131 sunucunun sundu\u011fu sertifikay\u0131 bu g\u00fcvenilir CA listesindeki bir otorite taraf\u0131ndan imzalan\u0131p imzalanmad\u0131\u011f\u0131n\u0131 kontrol eder. E\u011fer sertifika, g\u00fcvenilir bir CA taraf\u0131ndan imzalanmam\u0131\u015fsa (ki kendi imzal\u0131 sertifikalar bu kategoriye girer), taray\u0131c\u0131 kullan\u0131c\u0131n\u0131n ba\u011flant\u0131s\u0131n\u0131n g\u00fcvenli olmad\u0131\u011f\u0131n\u0131 veya bir risk ta\u015f\u0131d\u0131\u011f\u0131n\u0131 belirten bir uyar\u0131 g\u00f6sterir. Bu uyar\u0131, ortadaki adam (Man-in-the-Middle) sald\u0131r\u0131lar\u0131na kar\u015f\u0131 kullan\u0131c\u0131y\u0131 koruma amac\u0131 ta\u015f\u0131r.<\/p>\n Geli\u015ftirme veya dahili a\u011f ortamlar\u0131nda \u00e7al\u0131\u015f\u0131rken, bu uyar\u0131y\u0131 atlayabilir ve sertifikay\u0131 taray\u0131c\u0131n\u0131zda veya i\u015fletim sisteminizde manuel olarak g\u00fcvenilir olarak i\u015faretleyebilirsiniz. Bu, taray\u0131c\u0131n\u0131z\u0131n gelecekte bu sertifikaya sahip sitelere eri\u015fti\u011finde uyar\u0131 g\u00f6stermesini engeller.<\/p>\n Chrome (veya Chromium tabanl\u0131 taray\u0131c\u0131lar) i\u00e7in genel ad\u0131mlar:<\/strong> Bu komutlar, sertifikan\u0131z\u0131 sistem genelinde g\u00fcvenilir hale getirecektir. Taray\u0131c\u0131n\u0131z\u0131n bu de\u011fi\u015fiklikleri g\u00f6rmesi i\u00e7in yeniden ba\u015flatman\u0131z gerekebilir.<\/p>\n Bu ad\u0131mlar, kendi imzal\u0131 sertifikan\u0131z\u0131n sadece sizin taraf\u0131n\u0131zdan veya dahili a\u011f\u0131n\u0131zdaki kullan\u0131c\u0131lar taraf\u0131ndan g\u00fcvenilir olarak kabul edilmesini sa\u011flar. Harici kullan\u0131c\u0131lar i\u00e7in bu manuel ad\u0131mlar\u0131 uygulamak pratik de\u011fildir, bu y\u00fczden \u00fcretim ortamlar\u0131nda CA taraf\u0131ndan imzalanm\u0131\u015f sertifikalar tercih edilmelidir.<\/p>\n Kendi imzal\u0131 sertifikalar, belirli senaryolarda olduk\u00e7a kullan\u0131\u015fl\u0131 olsa da, \u00fcretim ortamlar\u0131nda dikkatli kullan\u0131lmas\u0131 gereken \u00f6nemli s\u0131n\u0131rlamalara sahiptir.<\/p>\n * Geli\u015ftirme Ortamlar\u0131:<\/strong> Web uygulamalar\u0131 geli\u015ftirirken, uygulaman\u0131n HTTPS \u00fczerinden nas\u0131l davrand\u0131\u011f\u0131n\u0131 test etmek i\u00e7in h\u0131zl\u0131 ve \u00fccretsiz bir y\u00f6ntem sunar. Geli\u015ftiriciler, SSL\/TLS yap\u0131land\u0131rmalar\u0131n\u0131, g\u00fcvenlik ba\u015fl\u0131klar\u0131n\u0131 ve HTTP’den HTTPS’ye y\u00f6nlendirmeleri kendi imzal\u0131 sertifikalarla kolayca deneyebilirler. * Taray\u0131c\u0131 Uyar\u0131lar\u0131:<\/strong> En b\u00fcy\u00fck s\u0131n\u0131rlama, taray\u0131c\u0131lar\u0131n kendi imzal\u0131 sertifikalara otomatik olarak g\u00fcvenmemesi ve g\u00fcvenlik uyar\u0131lar\u0131 g\u00f6stermesidir. Bu, genel kullan\u0131ma a\u00e7\u0131k web siteleri i\u00e7in kabul edilemezdir \u00e7\u00fcnk\u00fc kullan\u0131c\u0131 g\u00fcvenini zedeler ve profesyonel olmayan bir izlenim b\u0131rak\u0131r. \u00d6zetle, kendi imzal\u0131 sertifikalar geli\u015ftirme, test ve kapal\u0131 dahili a\u011flar gibi kontroll\u00fc ortamlarda de\u011ferli ara\u00e7lard\u0131r. Ancak, halka a\u00e7\u0131k ve \u00fcretim ortamlar\u0131nda, kullan\u0131c\u0131 g\u00fcvenini ve g\u00fcvenli\u011fi sa\u011flamak i\u00e7in mutlaka ticari veya \u00fccretsiz (\u00f6rn. Let’s Encrypt) bir Sertifika Yetkilisi taraf\u0131ndan imzalanm\u0131\u015f sertifikalar kullan\u0131lmal\u0131d\u0131r.<\/p>\n E\u011fer bir \u00fcretim ortam\u0131 i\u00e7in ger\u00e7ek bir SSL sertifikas\u0131na ihtiyac\u0131n\u0131z varsa ve maliyet endi\u015feleriniz varsa, Let’s Encrypt m\u00fckemmel bir \u00e7\u00f6z\u00fcmd\u00fcr. Let’s Encrypt, \u00fccretsiz, otomatik ve a\u00e7\u0131k bir Sertifika Yetkilisidir (CA). Certbot gibi ara\u00e7lar sayesinde, bir alan ad\u0131 i\u00e7in SSL sertifikalar\u0131n\u0131 kolayca alabilir, y\u00fckleyebilir ve otomatik olarak yenileyebilirsiniz.<\/p>\n Ubuntu 16.04’te Nginx i\u00e7in Let’s Encrypt sertifikas\u0131 almak i\u00e7in a\u015fa\u011f\u0131daki ad\u0131mlar\u0131 izleyebilirsiniz: 2. Sertifika Alma:<\/strong><\/p>\n Bu komut, Certbot’un Nginx yap\u0131land\u0131rman\u0131z\u0131 otomatik olarak analiz etmesini, sertifikalar\u0131 almas\u0131n\u0131 ve Nginx’i HTTPS kullanacak \u015fekilde yap\u0131land\u0131rmas\u0131n\u0131 sa\u011flar. Sizden bir e-posta adresi isteyecek ve hizmet \u015fartlar\u0131n\u0131 kabul etmenizi isteyecektir. Bu komut, otomatik yenileme s\u00fcrecinin sorunsuz \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 do\u011frular. Certbot, sertifikalar\u0131 otomatik olarak yenilemek i\u00e7in bir cron i\u015fi veya systemd zamanlay\u0131c\u0131s\u0131 kurar.<\/p>\n Let’s Encrypt, kendi imzal\u0131 sertifikalar\u0131n dezavantajlar\u0131n\u0131 ortadan kald\u0131rarak, halka a\u00e7\u0131k web siteleri i\u00e7in g\u00fcvenli ve \u00fccretsiz bir HTTPS \u00e7\u00f6z\u00fcm\u00fc sunar.<\/p>\n Bu makalede, Ubuntu 16.04 i\u015fletim sistemi \u00fczerinde Nginx web sunucusu i\u00e7in kendi imzal\u0131 bir SSL sertifikas\u0131n\u0131n nas\u0131l olu\u015fturulaca\u011f\u0131n\u0131 ve yap\u0131land\u0131r\u0131laca\u011f\u0131n\u0131 ayr\u0131nt\u0131l\u0131 bir \u015fekilde inceledik. S\u00fcre\u00e7, OpenSSL arac\u0131n\u0131 kullanarak bir \u00f6zel anahtar ve sertifika olu\u015fturmaktan, Nginx yap\u0131land\u0131rma dosyas\u0131n\u0131 bu sertifikay\u0131 kullanacak \u015fekilde d\u00fczenlemeye ve son olarak g\u00fcvenlik duvar\u0131 ayarlar\u0131n\u0131 yapmaya kadar t\u00fcm ad\u0131mlar\u0131 kapsad\u0131. Kendi imzal\u0131 sertifikalar\u0131n neden kullan\u0131ld\u0131\u011f\u0131, hangi durumlarda avantajl\u0131 oldu\u011fu ve taray\u0131c\u0131 uyar\u0131lar\u0131n\u0131n nas\u0131l y\u00f6netilece\u011fi gibi konulara da de\u011findik.<\/p>\n Kendi imzal\u0131 sertifikalar, geli\u015ftirme ortamlar\u0131, test sunucular\u0131 veya dahili a\u011f uygulamalar\u0131 gibi kontroll\u00fc ve kapal\u0131 ortamlarda SSL\/TLS i\u015flevselli\u011fini h\u0131zl\u0131 ve maliyetsiz bir \u015fekilde sa\u011flamak i\u00e7in de\u011ferli bir ara\u00e7t\u0131r. Bu sertifikalar, HTTPS’in temel prensiplerini anlamak ve web sunucusu yap\u0131land\u0131rmalar\u0131n\u0131 \u00f6\u011frenmek i\u00e7in de harika bir ba\u015flang\u0131\u00e7 noktas\u0131 sunar. Ancak, genel kullan\u0131ma a\u00e7\u0131k \u00fcretim ortamlar\u0131nda, taray\u0131c\u0131lar\u0131n otomatik olarak g\u00fcvendi\u011fi ve kullan\u0131c\u0131 g\u00fcvenini art\u0131ran Let’s Encrypt gibi \u00fccretsiz veya ticari bir Sertifika Yetkilisi taraf\u0131ndan imzalanm\u0131\u015f sertifikalar tercih edilmelidir. Kendi imzal\u0131 sertifikalar\u0131n taray\u0131c\u0131 uyar\u0131lar\u0131 ve g\u00fcvenilirlik eksikli\u011fi gibi \u00f6nemli s\u0131n\u0131rlamalar\u0131 bulunmaktad\u0131r.<\/p>\n Bu rehberi takip ederek, Ubuntu 16.04 sunucunuzda Nginx i\u00e7in ba\u015far\u0131l\u0131 bir \u015fekilde kendi imzal\u0131 SSL sertifikas\u0131 kurmu\u015f ve temel HTTPS yap\u0131land\u0131rmas\u0131n\u0131 anlam\u0131\u015f olmal\u0131s\u0131n\u0131z. Web g\u00fcvenli\u011fi yolculu\u011funuzda bir sonraki ad\u0131m, e\u011fer bir \u00fcretim ortam\u0131 s\u00f6z konusu ise, Let’s Encrypt gibi bir \u00e7\u00f6z\u00fcmle ger\u00e7ek bir SSL sertifikas\u0131na ge\u00e7i\u015f yapmak olacakt\u0131r. G\u00fcvenli web uygulamalar\u0131 geli\u015ftirmek ve sunmak, modern internetin temel ta\u015f\u0131d\u0131r ve bu ad\u0131mlar, bu amaca ula\u015fman\u0131z i\u00e7in sa\u011flam bir temel olu\u015fturmaktad\u0131r.<\/body><\/p>\n","protected":false},"excerpt":{"rendered":"Ubuntu 16.04’te Nginx \u0130\u00e7in Kendi \u0130mzal\u0131 SSL Sertifikas\u0131 Olu\u015fturma\nGiri\u015f\nG\u00fcn\u00fcm\u00fcz internet d\u00fcnyas\u0131nda g\u00fcvenlik, web uygulamalar\u0131 ve sunuc","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"csco_page_header_type":"","csco_page_load_nextpost":"","csco_page_subscribe_form":"","csco_page_contact_form":"","footnotes":""},"categories":[1468],"tags":[],"class_list":{"0":"post-34328","1":"post","2":"type-post","3":"status-publish","4":"format-standard","6":"category-ubuntu","7":"cs-entry","8":"cs-video-wrap"},"yoast_head":"\n
\n* H\u0131zl\u0131 Kurulum:<\/strong> Bir CA’dan sertifika alma s\u00fcreci, do\u011frulama ad\u0131mlar\u0131 gerektirdi\u011finden biraz zaman alabilir. Kendi imzal\u0131 sertifikay\u0131 an\u0131nda olu\u015fturabilirsiniz.
\n* Geli\u015ftirme ve Test Ortamlar\u0131:<\/strong> Canl\u0131 bir \u00fcretim ortam\u0131nda olmasa da, bir uygulaman\u0131n HTTPS \u00fczerinden nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 test etmek i\u00e7in idealdir. Geli\u015ftiriciler, uygulaman\u0131n SSL\/TLS yap\u0131land\u0131rmas\u0131n\u0131, y\u00f6nlendirmeleri ve di\u011fer g\u00fcvenlik \u00f6zelliklerini kendi imzal\u0131 sertifikalarla test edebilirler.
\n* Dahili A\u011flar ve Intranet Uygulamalar\u0131:<\/strong> \u015eirket i\u00e7i a\u011flarda veya sadece belirli bir grup kullan\u0131c\u0131 taraf\u0131ndan eri\u015filen intranet uygulamalar\u0131nda, sertifika g\u00fcvenini manuel olarak ekleyebilece\u011finiz durumlarda kendi imzal\u0131 sertifikalar kullan\u0131labilir. Bu t\u00fcr ortamlarda, harici bir CA’ya ihtiya\u00e7 duyulmaz.
\n* Temel SSL\/TLS Bilgisi Edinme:<\/strong> Kendi imzal\u0131 sertifika olu\u015fturma s\u00fcreci, SSL\/TLS protokol\u00fcn\u00fcn nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131, \u00f6zel anahtarlar\u0131n ve genel anahtarlar\u0131n rol\u00fc, sertifika imzalama s\u00fcreci gibi temel kavramlar\u0131 anlamak i\u00e7in pratik bir yol sunar.<\/p>\n\u00d6nko\u015fullar<\/h3>\n
\n* Sudo Yetkisine Sahip Bir Kullan\u0131c\u0131:<\/strong> Sunucuda komutlar\u0131 \u00e7al\u0131\u015ft\u0131rmak i\u00e7in sudo<\/code> yetkisine sahip bir kullan\u0131c\u0131 hesab\u0131n\u0131z olmal\u0131d\u0131r.
\n* Nginx Kurulumu:<\/strong> Nginx web sunucusunun sunucunuza kurulu olmas\u0131 gerekmektedir. E\u011fer kurulu de\u011filse, ilk ad\u0131mda kurulumunu ger\u00e7ekle\u015ftirece\u011fiz.
\n* Temel Linux Komut Bilgisi:<\/strong> cd<\/code>, ls<\/code>, mkdir<\/code>, nano<\/code> (veya tercih etti\u011finiz ba\u015fka bir metin d\u00fczenleyici), sudo<\/code> gibi temel Linux komutlar\u0131na a\u015fina olman\u0131z beklenir.
\n* A\u00e7\u0131k Port 443:<\/strong> G\u00fcvenlik duvar\u0131n\u0131zda HTTPS trafi\u011fi i\u00e7in varsay\u0131lan port olan 443’\u00fcn a\u00e7\u0131k olmas\u0131 gerekmektedir.<\/p>\nAd\u0131m 1: Nginx Kurulumu<\/h3>\n
sudo apt update\nsudo apt install nginx -y<\/code><\/pre>\nsudo systemctl status nginx<\/code><\/pre>\nactive (running)<\/code> ibaresini g\u00f6rmelisiniz. E\u011fer \u00e7al\u0131\u015fm\u0131yorsa, sudo systemctl start nginx<\/code> komutuyla ba\u015flatabilirsiniz. Ayr\u0131ca, web taray\u0131c\u0131n\u0131zdan sunucunuzun IP adresine giderek Nginx’in varsay\u0131lan kar\u015f\u0131lama sayfas\u0131n\u0131 g\u00f6r\u00fcp g\u00f6rmedi\u011finizi kontrol edebilirsiniz.<\/p>\nAd\u0131m 2: SSL Sertifikas\u0131 \u0130\u00e7in Dizin Olu\u015fturma<\/h3>\n
\/etc\/ssl<\/code> dizini alt\u0131nda \u00f6zel bir yap\u0131land\u0131rma tercih edilir. G\u00fcvenlik ve d\u00fczen a\u00e7\u0131s\u0131ndan, Nginx’in kendi imzal\u0131 sertifikas\u0131n\u0131 ve anahtar\u0131n\u0131 saklamak i\u00e7in ayr\u0131 bir dizin olu\u015ftural\u0131m:<\/p>\nsudo mkdir -p \/etc\/nginx\/ssl<\/code><\/pre>\n\/etc\/nginx<\/code> dizini alt\u0131nda ssl<\/code> ad\u0131nda bir dizin olu\u015fturacakt\u0131r. -p<\/code> parametresi, \u00fcst dizinlerin (bu durumda \/etc\/nginx<\/code>) mevcut olmamas\u0131 durumunda otomatik olarak olu\u015fturulmas\u0131n\u0131 sa\u011flar.<\/p>\nAd\u0131m 3: Kendi \u0130mzal\u0131 SSL Sertifikas\u0131 ve \u00d6zel Anahtar Olu\u015fturma<\/h3>\n
sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout \/etc\/nginx\/ssl\/nginx.key -out \/etc\/nginx\/ssl\/nginx.crt<\/code><\/pre>\nSertifika Bilgileri<\/h4>\n
You are about to be asked to enter information that will be incorporated\ninto your certificate request.\nWhat you are about to enter is what is called a Distinguished Name or a DN.\nThere are quite a few fields but you can leave some blank\nFor some fields there will be a default value,\nIf you enter '.', the field will be left blank.\n-----\nCountry Name (2 letter code) [AU]:TR\nState or Province Name (full name) [Some-State]:Istanbul\nLocality Name (eg, city) []:Istanbul\nOrganization Name (eg, company) [Internet Widgits Pty Ltd]:MyCompany\nOrganizational Unit Name (eg, section) []:IT\nCommon Name (e.g. server FQDN or YOUR name) []:example.com\nEmail Address []:admin@example.com<\/code><\/pre>\n
\n* Country Name (2 letter code):<\/strong> \u00dclke kodu (\u00f6rn: TR, US).
\n* State or Province Name (full name):<\/strong> Eyalet veya il ad\u0131 (\u00f6rn: Istanbul).
\n* Locality Name (eg, city):<\/strong> \u015eehir ad\u0131 (\u00f6rn: Istanbul).
\n* Organization Name (eg, company):<\/strong> \u015eirket veya organizasyon ad\u0131 (\u00f6rn: MyCompany).
\n* Organizational Unit Name (eg, section):<\/strong> Organizasyonel birim (\u00f6rn: IT).
\n* Common Name (e.g. server FQDN or YOUR name):<\/strong> Bu, sertifikan\u0131n verilece\u011fi alan ad\u0131d\u0131r. Test ama\u00e7l\u0131 olarak sunucunuzun IP adresini veya example.com<\/code> gibi bir alan ad\u0131n\u0131 kullanabilirsiniz. E\u011fer canl\u0131 bir alan ad\u0131 kullan\u0131yorsan\u0131z, buraya o alan ad\u0131n\u0131 girmeniz \u00f6nemlidir.
\n* Email Address:<\/strong> \u0130leti\u015fim e-posta adresi.<\/p>\n\u00d6nemli Parametreler<\/h4>\n
-req<\/code>: Yeni bir Sertifika \u0130mzalama \u0130ste\u011fi (CSR) olu\u015fturulaca\u011f\u0131n\u0131 belirtir. -x509<\/code> ile birlikte kullan\u0131ld\u0131\u011f\u0131nda, do\u011frudan bir sertifika olu\u015fturur.
\n* -x509<\/code>: Bu, bir sertifika imzalama iste\u011fi olu\u015fturmak yerine, do\u011frudan kendi imzal\u0131 bir sertifika olu\u015fturaca\u011f\u0131m\u0131z\u0131 belirtir. Bu sertifika, kendi \u00f6zel anahtar\u0131m\u0131zla imzalan\u0131r.
\n* -nodes<\/code>: “no DES” anlam\u0131na gelir. Bu parametre, \u00f6zel anahtar\u0131n \u015fifrelenmemesini sa\u011flar. \u00d6zel anahtar\u0131n \u015fifrelenmesi, her Nginx yeniden ba\u015flat\u0131ld\u0131\u011f\u0131nda bir parola girmenizi gerektirece\u011finden, \u00e7o\u011fu otomatik sunucu yap\u0131land\u0131rmas\u0131nda bu istenmeyen bir durumdur. Ancak g\u00fcvenlik a\u00e7\u0131s\u0131ndan, anahtar\u0131n \u015fifrelenmesi daha iyi olabilir, bu durumda -nodes<\/code> parametresini kald\u0131rman\u0131z gerekir.
\n* -days 365<\/code>: Sertifikan\u0131n ge\u00e7erlilik s\u00fcresini g\u00fcn cinsinden belirtir. Burada 365 g\u00fcn (1 y\u0131l) olarak ayarlanm\u0131\u015ft\u0131r. \u00dcretim ortamlar\u0131nda bu s\u00fcre genellikle daha uzun olabilir.
\n* -newkey rsa:2048<\/code>: Yeni bir \u00f6zel anahtar olu\u015fturulaca\u011f\u0131n\u0131 belirtir. rsa:2048<\/code>, 2048 bit uzunlu\u011funda bir RSA anahtar\u0131 olu\u015fturulaca\u011f\u0131n\u0131 g\u00f6sterir. Bu, g\u00fcn\u00fcm\u00fcz standartlar\u0131na g\u00f6re yeterince g\u00fcvenli kabul edilen bir anahtar uzunlu\u011fudur.
\n* -keyout \/etc\/nginx\/ssl\/nginx.key<\/code>: Olu\u015fturulan \u00f6zel anahtar\u0131n kaydedilece\u011fi dosya yolunu belirtir. Bu dosya, \/etc\/nginx\/ssl\/nginx.key<\/code> olarak ayarlanm\u0131\u015ft\u0131r. Bu dosyan\u0131n yetkisiz eri\u015fimden korunmas\u0131 \u00e7ok \u00f6nemlidir.
\n* -out \/etc\/nginx\/ssl\/nginx.crt<\/code>: Olu\u015fturulan SSL sertifikas\u0131n\u0131n kaydedilece\u011fi dosya yolunu belirtir. Bu dosya, \/etc\/nginx\/ssl\/nginx.crt<\/code> olarak ayarlanm\u0131\u015ft\u0131r.<\/p>\n\/etc\/nginx\/ssl\/<\/code> dizininde nginx.key<\/code> (\u00f6zel anahtar) ve nginx.crt<\/code> (SSL sertifikas\u0131) ad\u0131nda iki dosya bulunacakt\u0131r.<\/p>\nAd\u0131m 4: Nginx’i SSL Kullanacak \u015eekilde Yap\u0131land\u0131rma<\/h3>\n
\/etc\/nginx\/sites-available\/<\/code> dizininde bulunur ve sites-enabled<\/code> dizinine sembolik ba\u011flant\u0131lar arac\u0131l\u0131\u011f\u0131yla etkinle\u015ftirilir.<\/p>\nYeni Bir Sunucu Blo\u011fu Olu\u015fturma<\/h4>\n
sudo nano \/etc\/nginx\/sites-available\/default-ssl<\/code><\/pre>\nserver {\n listen 80;\n listen [::]:80;\n server_name example.com www.example.com; # Kendi alan ad\u0131n\u0131z\u0131 veya sunucu IP'nizi buraya yaz\u0131n\n return 301 https:\/\/$host$request_uri;\n}\n\nserver {\n listen 443 ssl http2;\n listen [::]:443 ssl http2;\n server_name example.com www.example.com; # Kendi alan ad\u0131n\u0131z\u0131 veya sunucu IP'nizi buraya yaz\u0131n\n\n ssl_certificate \/etc\/nginx\/ssl\/nginx.crt;\n ssl_certificate_key \/etc\/nginx\/ssl\/nginx.key;\n\n ssl_protocols TLSv1.2 TLSv1.3;\n ssl_prefer_server_ciphers on;\n ssl_ciphers EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH;\n ssl_ecdh_curve secp384r1;\n ssl_session_cache shared:SSL:10m;\n ssl_session_tickets off;\n ssl_stapling on;\n ssl_stapling_verify on;\n resolver 8.8.8.8 8.8.4.4 valid=300s;\n resolver_timeout 5s;\n add_header X-Frame-Options DENY;\n add_header X-Content-Type-Options nosniff;\n add_header X-XSS-Protection \"1; mode=block\";\n\n root \/var\/www\/html; # Web sitenizin k\u00f6k dizini\n index index.html index.htm index.nginx-debian.html;\n\n location \/ {\n try_files $uri $uri\/ =404;\n }\n}<\/code><\/pre>\n
\n* server_name<\/code> y\u00f6nergesini kendi alan ad\u0131n\u0131zla veya sunucu IP adresinizle de\u011fi\u015ftirmeyi unutmay\u0131n. E\u011fer bir alan ad\u0131n\u0131z yoksa ve sadece IP adresi \u00fczerinden eri\u015fiyorsan\u0131z, buraya sunucunuzun IP adresini yazabilirsiniz. \u00d6rne\u011fin: server_name 192.168.1.100;<\/code>
\n* root<\/code> y\u00f6nergesi, web sitenizin dosyalar\u0131n\u0131n bulundu\u011fu dizini g\u00f6sterir. Varsay\u0131lan Nginx kurulumunda bu genellikle \/var\/www\/html<\/code>‘dir.
\n* Bu yap\u0131land\u0131rma, HTTP’den HTTPS’ye y\u00f6nlendirme (301 kal\u0131c\u0131 y\u00f6nlendirme) i\u00e7erir. Bu, kullan\u0131c\u0131lar\u0131n sitenize HTTP \u00fczerinden eri\u015fmeye \u00e7al\u0131\u015ft\u0131\u011f\u0131nda otomatik olarak HTTPS’ye y\u00f6nlendirilece\u011fi anlam\u0131na gelir.<\/p>\nCtrl+O<\/code>, Enter<\/code> ve Ctrl+X<\/code>), bu sunucu blo\u011funu etkinle\u015ftirmek i\u00e7in bir sembolik ba\u011flant\u0131 olu\u015fturmam\u0131z ve varsay\u0131lan Nginx yap\u0131land\u0131rmas\u0131n\u0131 devre d\u0131\u015f\u0131 b\u0131rakmam\u0131z gerekir (\u00e7\u00fcnk\u00fc o da port 80’i dinliyor olabilir).<\/p>\nsudo ln -s \/etc\/nginx\/sites-available\/default-ssl \/etc\/nginx\/sites-enabled\/\nsudo rm \/etc\/nginx\/sites-enabled\/default<\/code><\/pre>\ndefault-ssl<\/code> yap\u0131land\u0131rmas\u0131n\u0131 etkinle\u015ftirir ve Nginx’in varsay\u0131lan yap\u0131land\u0131rmas\u0131n\u0131 devre d\u0131\u015f\u0131 b\u0131rak\u0131r.<\/p>\nGerekli Y\u00f6nergelerin A\u00e7\u0131klamas\u0131<\/h4>\n
listen 443 ssl http2;<\/code>: Nginx’in 443 numaral\u0131 portu SSL\/TLS ve HTTP\/2 protokolleri i\u00e7in dinlemesini sa\u011flar. http2<\/code> deste\u011fi, modern web performans\u0131n\u0131 art\u0131r\u0131r.
\n* ssl_certificate \/etc\/nginx\/ssl\/nginx.crt;<\/code>: SSL sertifikas\u0131n\u0131n tam yolunu belirtir.
\n* ssl_certificate_key \/etc\/nginx\/ssl\/nginx.key;<\/code>: \u00d6zel anahtar\u0131n tam yolunu belirtir.
\n* ssl_protocols TLSv1.2 TLSv1.3;<\/code>: Kullan\u0131lacak SSL\/TLS protokollerini belirler. Eski ve g\u00fcvensiz protokolleri (SSLv3, TLSv1.0, TLSv1.1) devre d\u0131\u015f\u0131 b\u0131rakarak g\u00fcvenli\u011fi art\u0131r\u0131r.
\n* ssl_prefer_server_ciphers on;<\/code>: Sunucunun, istemcinin \u00f6nerdi\u011fi yerine kendi \u015fifreleme paketlerini tercih etmesini sa\u011flar.
\n* ssl_ciphers EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH;<\/code>: G\u00fcvenli \u015fifreleme paketlerini tan\u0131mlar. Bu liste, g\u00fc\u00e7l\u00fc \u015fifrelemeleri tercih eder.
\n* ssl_ecdh_curve secp384r1;<\/code>: ECDH anahtar de\u011fi\u015fiminde kullan\u0131lacak e\u011friyi belirtir.
\n* ssl_session_cache shared:SSL:10m;<\/code>: SSL oturum \u00f6nbelle\u011fini etkinle\u015ftirir. Bu, ayn\u0131 istemcinin birden fazla ba\u011flant\u0131 kurmas\u0131 durumunda el s\u0131k\u0131\u015fma s\u00fcrecini h\u0131zland\u0131r\u0131r.
\n* ssl_session_tickets off;<\/code>: SSL oturum biletlerini devre d\u0131\u015f\u0131 b\u0131rak\u0131r. G\u00fcvenlik endi\u015feleri nedeniyle genellikle kapat\u0131lmas\u0131 \u00f6nerilir.
\n* ssl_stapling on; ssl_stapling_verify on;<\/code>: OCSP Stapling’i etkinle\u015ftirir. Bu, sunucunun sertifika iptal durumunu CA’dan \u00f6nceden al\u0131p istemciye sunarak performans ve gizlili\u011fi art\u0131r\u0131r.
\n* resolver 8.8.8.8 8.8.4.4 valid=300s; resolver_timeout 5s;<\/code>: OCSP Stapling i\u00e7in DNS \u00e7\u00f6z\u00fcmleyicilerini ve zaman a\u015f\u0131m\u0131n\u0131 belirtir. Google DNS sunucular\u0131 \u00f6rnek olarak verilmi\u015ftir.
\n* add_header X-Frame-Options DENY; add_header X-Content-Type-Options nosniff; add_header X-XSS-Protection \"1; mode=block\";<\/code>: HTTP g\u00fcvenlik ba\u015fl\u0131klar\u0131 ekler. Bu ba\u015fl\u0131klar, t\u0131klama ka\u00e7\u0131rma (clickjacking), MIME t\u00fcr\u00fc koklama ve XSS sald\u0131r\u0131lar\u0131na kar\u015f\u0131 koruma sa\u011flamaya yard\u0131mc\u0131 olur.<\/p>\nAd\u0131m 5: Nginx Yap\u0131land\u0131rmas\u0131n\u0131 Test Etme ve Yeniden Ba\u015flatma<\/h3>\n
sudo nginx -t<\/code><\/pre>\nnginx: the configuration file \/etc\/nginx\/nginx.conf syntax is ok\nnginx: configuration file \/etc\/nginx\/nginx.conf test is successful<\/code><\/pre>\nsudo systemctl restart nginx<\/code><\/pre>\nhttps:\/\/<\/code> \u00f6nekiyle eri\u015fmeyi deneyin (\u00f6rne\u011fin: https:\/\/example.com<\/code> veya https:\/\/192.168.1.100<\/code>).<\/p>\nAd\u0131m 6: G\u00fcvenlik Duvar\u0131n\u0131 Yap\u0131land\u0131rma<\/h3>\n
sudo ufw status<\/code><\/pre>\nsudo ufw allow 'Nginx HTTPS'\nveya sadece port 443'e izin vermek i\u00e7in<\/h2>\nsudo ufw allow 443\/tcp<\/code><\/pre>\n
sudo ufw delete allow 'Nginx HTTP'<\/code><\/pre>\nTaray\u0131c\u0131da Sertifika Uyar\u0131s\u0131 ve Y\u00f6netimi<\/h3>\n
Neden Uyar\u0131 G\u00f6r\u00fcn\u00fcr?<\/h4>\n
Sertifikay\u0131 G\u00fcvenilir Olarak Ekleme<\/h4>\n
\n1. Uyar\u0131 sayfas\u0131nda “Geli\u015fmi\u015f” veya “Devam et” se\u00e7ene\u011fini t\u0131klay\u0131n.
\n2. “example.com adresine g\u00fcvenli olmayan bir \u015fekilde devam et” (veya benzeri) se\u00e7ene\u011fini se\u00e7erek siteye eri\u015fin.
\n3. Sertifikay\u0131 indirmek ve i\u015fletim sisteminize eklemek i\u00e7in taray\u0131c\u0131n\u0131z\u0131n sertifika y\u00f6netimi ayarlar\u0131na gidin. Genellikle adres \u00e7ubu\u011fundaki kilit simgesine t\u0131klay\u0131p “Sertifika” veya “Ba\u011flant\u0131 ayarlar\u0131” se\u00e7ene\u011finden sertifikay\u0131 d\u0131\u015fa aktarabilirsiniz.
\n4. \u0130ndirdi\u011finiz .crt<\/code> dosyas\u0131n\u0131 i\u015fletim sisteminizin g\u00fcvenilen k\u00f6k sertifika depolar\u0131na ekleyin. Bu i\u015flem i\u015fletim sistemine g\u00f6re de\u011fi\u015fir:
\n * Windows:<\/strong> .crt<\/code> dosyas\u0131na \u00e7ift t\u0131klay\u0131n, “Sertifikay\u0131 Y\u00fckle” sihirbaz\u0131n\u0131 takip edin ve “G\u00fcvenilen K\u00f6k Sertifika Yetkilileri” deposuna yerle\u015ftirin.
\n * macOS:<\/strong> .crt<\/code> dosyas\u0131na \u00e7ift t\u0131klay\u0131n, Anahtar Zinciri Eri\u015fimi uygulamas\u0131nda sertifikay\u0131 bulun, \u00e7ift t\u0131klay\u0131n, “G\u00fcven” b\u00f6l\u00fcm\u00fcn\u00fc geni\u015fletin ve “Bu sertifikay\u0131 kullan\u0131rken” se\u00e7ene\u011fini “Her zaman g\u00fcven” olarak ayarlay\u0131n.
\n * Linux (Ubuntu\/Debian tabanl\u0131 sistemler):<\/strong><\/p>\nsudo cp \/etc\/nginx\/ssl\/nginx.crt \/usr\/local\/share\/ca-certificates\/\n sudo update-ca-certificates<\/code><\/pre>\nKendi \u0130mzal\u0131 Sertifikalar\u0131n Kullan\u0131m Alanlar\u0131 ve S\u0131n\u0131rlamalar\u0131<\/h3>\n
Kullan\u0131m Alanlar\u0131<\/h4>\n
\n* Dahili A\u011flar ve Intranet Uygulamalar\u0131:<\/strong> \u015eirket i\u00e7i a\u011flarda veya sadece belirli bir grup kullan\u0131c\u0131 taraf\u0131ndan eri\u015filen uygulamalarda, sertifika g\u00fcvenini manuel olarak ekleyebilece\u011finiz veya t\u00fcm istemcilerin merkezi olarak y\u00f6netildi\u011fi durumlarda kendi imzal\u0131 sertifikalar kullan\u0131labilir. Bu t\u00fcr ortamlarda, harici bir CA’ya ihtiya\u00e7 duyulmaz ve maliyetten tasarruf edilir.
\n* API Testleri:<\/strong> Geli\u015ftirilen API’lerin HTTPS \u00fczerinden g\u00fcvenli bir \u015fekilde ileti\u015fim kurup kurmad\u0131\u011f\u0131n\u0131 test etmek i\u00e7in kullan\u0131labilir. Postman, Insomnia gibi ara\u00e7lar genellikle kendi imzal\u0131 sertifikalar\u0131 kabul etme veya manuel olarak ekleme se\u00e7ene\u011fi sunar.
\n* IoT Cihazlar\u0131 ve G\u00f6m\u00fcl\u00fc Sistemler:<\/strong> K\u0131s\u0131tl\u0131 kaynaklara sahip veya kapal\u0131 ekosistemlerde \u00e7al\u0131\u015fan IoT cihazlar\u0131 ve g\u00f6m\u00fcl\u00fc sistemler, kimlik do\u011frulama ve veri \u015fifreleme i\u00e7in kendi imzal\u0131 sertifikalar\u0131 kullanabilirler. Bu senaryolarda, cihazlar genellikle birbirlerine veya belirli bir merkeze g\u00fcvenirler ve harici bir CA’ya ba\u011f\u0131ml\u0131l\u0131k istenmez.
\n* E\u011fitim ve \u00d6\u011frenme:<\/strong> SSL\/TLS’nin nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131, sertifika olu\u015fturma s\u00fcre\u00e7lerini ve web sunucusu yap\u0131land\u0131rmalar\u0131n\u0131 \u00f6\u011frenmek i\u00e7in pratik bir ara\u00e7t\u0131r.<\/p>\nS\u0131n\u0131rlamalar<\/h4>\n
\n* Kullan\u0131c\u0131 Deneyimi:<\/strong> Her yeni kullan\u0131c\u0131 veya yeni bir cihazla siteye eri\u015fildi\u011finde manuel olarak sertifikay\u0131 g\u00fcvenilir olarak eklemek veya uyar\u0131y\u0131 atlamak zorunda kalmak, k\u00f6t\u00fc bir kullan\u0131c\u0131 deneyimine yol a\u00e7ar.
\n* G\u00fcvenilirlik Eksikli\u011fi:<\/strong> Kendi imzal\u0131 sertifikalar, bir \u00fc\u00e7\u00fcnc\u00fc taraf CA taraf\u0131ndan do\u011frulanmad\u0131\u011f\u0131 i\u00e7in, web sitesinin kimli\u011fi hakk\u0131nda herhangi bir g\u00fcvence sa\u011flamaz. Bu, ortadaki adam sald\u0131r\u0131lar\u0131na (Man-in-the-Middle attacks) kar\u015f\u0131 savunmas\u0131z kalma riski ta\u015f\u0131r, \u00e7\u00fcnk\u00fc k\u00f6t\u00fc niyetli bir akt\u00f6r de kendi imzal\u0131 bir sertifika olu\u015fturup kendini sizin siteniz gibi g\u00f6sterebilir.
\n* S\u0131n\u0131rl\u0131 Taray\u0131c\u0131\/\u0130\u015fletim Sistemi Deste\u011fi:<\/strong> Baz\u0131 eski taray\u0131c\u0131lar veya i\u015fletim sistemleri, kendi imzal\u0131 sertifikalar\u0131 y\u00f6netmekte veya kabul etmekte zorlanabilir.
\n* Sertifika Y\u00f6netimi Zorlu\u011fu:<\/strong> E\u011fer \u00e7ok say\u0131da kendi imzal\u0131 sertifikay\u0131 farkl\u0131 sunucularda kullan\u0131yorsan\u0131z, bunlar\u0131n ge\u00e7erlilik s\u00fcrelerini takip etmek ve yenilemek zamanla karma\u015f\u0131k hale gelebilir. CA’lar genellikle bu s\u00fcre\u00e7leri otomatikle\u015ftirir.
\n* HTTP\/2 ve Di\u011fer Modern \u00d6zellikler:<\/strong> Modern web teknolojileri, HTTPS’i bir temel gereklilik olarak g\u00f6r\u00fcr. Kendi imzal\u0131 sertifikalarla HTTP\/2 gibi \u00f6zellikler teknik olarak \u00e7al\u0131\u015fsa da, taray\u0131c\u0131 uyar\u0131lar\u0131 nedeniyle bu \u00f6zelliklerin tam faydas\u0131n\u0131 g\u00f6remeyebilirsiniz.<\/p>\nAlternatifler: Let’s Encrypt<\/h3>\n
\n1. Certbot Kurulumu:<\/strong><\/p>\nsudo apt update\n sudo apt install software-properties-common\n sudo add-apt-repository ppa:certbot\/certbot\n sudo apt update\n sudo apt install python-certbot-nginx<\/code><\/pre>\nsudo certbot --nginx -d example.com -d www.example.com<\/code><\/pre>\n
\n3. Otomatik Yenileme Testi:<\/strong><\/p>\nsudo certbot renew --dry-run<\/code><\/pre>\nSonu\u00e7<\/h3>\n