HTTPS Nedir? SSL ve TLS Arasındaki Farklar

İnternet ağ mimarisinde veri güvenliğini sağlayan HTTPS, SSL ve TLS protokolleri arasındaki ilişkileri ve farkları anlamak, modern ağ güvenliği tasarımlarını doğru kavrayabilmek adına kritik önem taşır. Günümüz dijital dünyasında, internet üzerinden aktarılan verilerin korunması her zamankinden daha kritik bir öncelik haline gelmiştir. Çevrimiçi alışveriş yaparken, kişisel verileri paylaşırken veya Nesnelerin İnterneti (IoT) ağlarında telemetri aktarırken, ağ bağlantısının uçtan uca kriptografik olarak güvenli kılınması siber dayanıklılığın temelidir.

Mikrodenetleyici projelerinde şifreli bağlantıları çalıştırmak için hazırladığımız kapsamlı ESP32 HTTPS tünelleme kılavuzuna göz atabilirsiniz.

HTTPS Nedir?

HTTPS (HyperText Transfer Protocol Secure), HTTP protokolünün veri aktarım katmanında kriptografik bir zırhla (SSL/TLS) korunan güvenli sürümüdür. İstemci (tarayıcı veya IoT cihazı) ile sunucu arasında kurulan tüm veri akışını uçtan uca şifreleyerek veri paketlerinin (payload) deşifre edilmesini veya manipüle edilmesini (MITM saldırıları) engeller.

• Kriptografik Şifreleme (Encryption): Aktarılan tüm verileri güçlü simetrik şifreleme algoritmalarıyla koruyarak, ağdaki aracıların verileri okumasını teknik olarak imkansız kılar.
• Sunucu Doğrulaması (Authentication): Dijital sertifikalar (SSL/TLS Certificates) ve Sertifika Otoriteleri (CA) aracılığıyla, bağlanılan sunucunun gerçek ve güvenilir olduğunu kanıtlar; taklit sunucu zafiyetlerini önler.
• Veri Bütünlüğü (Data Integrity): Taşıma esnasında paketlerin bozulup bozulmadığını veya saldırganlar tarafından değiştirilip değiştirilmediğini Message Authentication Code (MAC) algoritmalarıyla denetler.

SSL Nedir?

SSL (Secure Sockets Layer), Netscape tarafından 1990’ların ortasında geliştirilen ve internet trafiğini şifrelemek amacıyla tasarlanan ilk kriptografik güvenlik protokolüdür. SSL 1.0, 2.0 ve 3.0 sürümleri, barındırdıkları ciddi kriptografik açıklar (örneğin POODLE saldırısı) nedeniyle günümüzde tamamen yürürlükten kaldırılmış (deprecated) ve yerini TLS protokolüne bırakmıştır. Ancak marka ve alışkanlıklar nedeniyle günümüzde hala “SSL Sertifikası” terimi yaygın olarak kullanılmaktadır.

• Kanal Şifreleme: Soket düzeyinde istemci ve sunucu arasındaki veri akışını kriptografik algoritmalarla korur.
• Sertifikasyon: Sunucu kimlik bilgilerini doğrulayarak güvenli soket bağlantıları oluşturur.

SSL protokol ailesi, yapısal siber güvenlik açıkları sebebiyle günümüzde tamamen kullanımdan kaldırılmış, tarihsel bir teknolojik adımdır.

TLS Nedir?

TLS (Transport Layer Security), SSL protokolünün yapısal açıklarını kapatmak ve internet omurgasını askeri düzeyde korumak amacıyla IETF tarafından geliştirilen modern şifreleme protokolüdür. Güncel TLS 1.2 ve TLS 1.3 standartları, HTTPS ve MQTTS gibi tüm güvenli web ve IoT haberleşmelerinin temelini oluşturur. TLS, SSL’in doğrudan devamı niteliğindedir ancak çok daha karmaşık ve aşılması zor kriptografik koruma katmanlarına sahiptir.

• Gelişmiş Simetrik Şifreleme: AES-GCM ve CHACHA20-POLY1305 gibi son derece hızlı ve güvenli şifreleme bloklarını barındırır.
• Güçlü Sertifika Zinciri (Chain of Trust): Kök CA sertifikalarıyla başlayan kopmaz bir doğrulama hiyerarşisi kullanır.
• Siber Saldırı Bağışıklığı: SSL döneminden kalan RC4, 3DES gibi zayıf şifreleme algoritmalarını tamamen engelleyerek modern siber tehditlere karşı maksimum direnç sunar.

TLS Nasıl Çalışır?

TLS, genellikle HTTPS gibi protokollerle birlikte kullanılır ve şifreli veri iletimi sağlar. TLS’nin çalışma prensibini adım adım açıklayalım:

TLS El Sıkışma (Handshake) Protokolü Aşamaları

• Bağlantı Girişi (Client Hello / Server Hello): İstemci sunucuya desteklediği TLS sürümünü ve şifreleme paketlerini (cipher suites) gönderir; sunucu da buna uygun olarak ortak parametreleri seçerek yanıt verir.
• Sunucu Doğrulaması (Certificate Exchange): Sunucu, dijital sertifikasını istemciye sunar. İstemci, bu sertifikanın yetkili bir otorite (CA) tarafından imzalandığını ve geçerli olduğunu doğrular.
• Güvenli Anahtar Değişimi (Key Exchange): Asimetrik şifreleme yöntemleri (örneğin Diffie-Hellman veya ECDH) yardımıyla, ağdaki dinleyicilerin asla ele geçiremeyeceği ortak bir simetrik oturum anahtarı (session key) üretilir.
• Kriptografik El Sıkışma Tamamlanması: Her iki taraf da “Finished” mesajlarını göndererek el sıkışma sürecini kapatır ve tüm veri akışını bu andan itibaren şifreli yürütmeye başlar.

Veri Şifreleme ve Taşıma Kriterleri

• Hızlı Simetrik Kriptografi: Asimetrik şifreleme sadece el sıkışmada anahtar üretmek için kullanılır. Asıl veri iletiminde işlem yükünü azaltmak ve hızı artırmak için ortak üretilen simetrik anahtarlar (AES vb.) kullanılır.
• Payload Maskeleme: Ağ üzerinden akan tüm içerikler simetrik anahtarla şifreli paketler halinde taşınır.

Bütünlük Denetimleri ve Paket Güvencesi

• Mesaj Kimlik Doğrulama Kodu (MAC/HMAC): Kriptografik özet fonksiyonları (SHA-256 vb.) kullanılarak her paketin bütünlüğü denetlenir; yolda pakete yapılacak en ufak müdahale alıcı tarafından anında fark edilerek paket reddedilir.
• Karşılıklı Kimlik Kanıtı: Gelişmiş senaryolarda (mTLS) sunucunun yanı sıra istemcinin de kendi sertifikasını sunması sağlanarak iki yönlü bir güvenlik zinciri kurulabilir.

Veri İletimi

• Şifreli İletişim: TLS, verilerin her iki taraf arasında güvenli bir şekilde şifrelenerek iletilmesini sağlar. İletim sırasında, veri şifreli olduğundan, kötü niyetli bir kişinin veri üzerinde herhangi bir işlem yapması engellenir.

Bağlantı Sonlandırma

• Bağlantı Sonlandırma: TLS bağlantısı tamamlandığında, bağlantının güvenli bir şekilde kapatılması gerekir. Bu işlem sırasında taraflar, birbirlerine bağlantıyı kapattıklarını bildiren bir mesaj gönderirler.

HTTPS, SSL ve TLS Arasındaki Farklar

Sonuç

Sonuç olarak HTTPS, SSL ve TLS protokolleri, modern internet omurgasının ve gömülü sistem mimarilerinin veri gizliliğini ayakta tutan siber koruma duvarlarıdır. Tarihsel süreçte yapısal zafiyetleri nedeniyle emekliye ayrılan SSL protokolünün yerine, askeri düzeyde koruma sağlayan modern TLS (özellikle TLS 1.2 ve 1.3) standartları geçmiş durumdadır. İnternet dünyasında ve IoT projelerinde bu protokollerin el sıkışma hiyerarşilerini kavramak, siber tehdit vektörlerini henüz tasarım aşamasında bloke etmenize olanak tanır. Protokol standartlarının detaylarını ve IETF uyumluluk rehberlerini incelemek isterseniz, resmi NIST SP 800-52 Revizyon 2 kılavuzunu detaylıca okuyabilirsiniz.