TLS yapılandırmasını denetlemek
TLS el sıkışmasını, sürümleri, şifre takımlarını ve ileri gizliliği anlar; openssl s_client, testssl.sh ve Nmap ile sunucuları denetler, Nginx, Apache ve web dışı servisleri kurum TLS ilkesine göre sıkılaştırıp yeniden denetlersin.
Seviye 201 · 18 ders · 18 pratik lab
Dersler
TLS’i anlamak
- TLS el sıkışması adım adım
- TLS sürümleri: neden 1.0 ve 1.1 kapatılmalı
- Şifre takımlarını okumak
- İleri gizlilik ve anahtar değişimi
- Kısa görev: bir el sıkışmayı Wireshark’ta adım adım işaretle
Denetlemek
- openssl s_client ile sunucuyu sorgulamak
- testssl.sh ile kapsamlı denetim
- Nmap ile şifre takımlarını listelemek
- Sertifika denetimi: zincir, ad uyumu, anahtar boyu, süre
- Bilinen TLS zayıflıklarını tanımak ve kapatmak
- Kısa görev: üç lab sunucusunun TLS yapılandırmasını denetle ve puanla
Sıkılaştırmak
- Nginx ve Apache için güvenli TLS ayarları
- HSTS ve HTTPS’e yönlendirme
- OCSP zımbalama
- Web dışı servislerde TLS: e-posta, veritabanı, LDAP
- Kısa görev: bir sunucuyu kurum TLS ilkesine getir ve yeniden denetle
İlke
- Kurum TLS ilkesi yazmak
- Bitirme görevi: bir kurumun tüm TLS uç noktalarını denetle, düzelt ve raporla
Pratik lablar
- TLS el sıkışmasının adımlarını trafik kaydında işaretle: Lab trafik kaydındaki bir bağlantının el sıkışma mesajlarını sırayla bul ve her birinin ne taşıdığını tabloya yaz.
- TLS 1.2 ve 1.3 el sıkışmalarını karşılaştır: Aynı lab sunucusuna iki sürümle bağlanıp kaydı Wireshark'ta incele, tur sayısı ve şifrelenen kısımlardaki farkı raporla.
- İleri gizlilik sağlamayan bağlantıları bul: Lab trafik kaydındaki bağlantıların anahtar değişimi türünü çıkar, ileri gizlilik sağlamayan sunucuları belirle ve düzeltme önerisi yaz.
- Sunucuyu openssl s_client ile sorgula: Lab web sunucusuna bağlanıp sürüm, şifre takımı ve sunulan zinciri çıkar ve kısa bir bulgu notu yaz.
- Şifre takımlarını listele ve zayıf olanları işaretle: Lab ağındaki iki sunucunun desteklediği şifre takımlarını Nmap betiğiyle listele ve kurum ilkesine aykırı olanları işaretle.
- Üç lab sunucusunun TLS yapılandırmasını denetle ve puanla: Turnalı Perakende'nin üç sunucusunu kapsamlı TLS denetim aracıyla tara, ortak bir puanlama ölçeğiyle sırala ve öncelik listesini yaz.
- Sertifika anahtar boyunu ve imza algoritmasını denetle: Lab sunucularının sertifikalarında anahtar boyu ve imza algoritmasını çıkar ve ilkenin altında kalanı raporla.
- Eksik ara sertifikayı bul ve zinciri düzelt: Bazı istemcilerde hata veren lab sunucusunda eksik ara sertifikayı tespit et, zinciri düzelt ve farklı istemcilerle doğrula.
- Bir sunucunun sertifikasını zincir, ad, süre ve anahtar açısından denetle: Mercanköşk Otelcilik'in rezervasyon sunucusundaki sertifikayı dört açıdan denetle, bulguları önem sırasıyla yaz ve yenisini kurarak yeniden sına.
- TLS 1.0 ve 1.1'i kapat ve doğrula: Lab sunucusunda eski sürümlerin açık olduğunu göster, kapat ve eski sürümle bağlantının reddedildiğini kanıtla.
- Zayıf şifre takımlarını temizle: RC4, 3DES ve anahtar değişimi zayıf takımları lab sunucusundan çıkar, denetimi tekrarla ve önce-sonra listesini kaydet.
- Bilinen TLS zayıflıklarını bul, kapat ve yeniden test et: Lab sunucusundaki yeniden anlaşma, sıkıştırma ve zayıf DH parametresi bulgularını kapat ve her biri için yeniden test sonucunu rapora ekle.
- Nginx için güvenli TLS ayarlarını uygula: Lab Nginx sunucusuna kurum ilkesindeki sürüm ve şifre takımı ayarlarını uygula, yapılandırmayı sına ve denetimi tekrarla.
- HSTS ve HTTPS yönlendirmesini ekle ve doğrula: Lab sitesine düz HTTP'den HTTPS'e kalıcı yönlendirme ve HSTS başlığı ekle, alt alan adlarındaki etkisini sınayıp kaydet.
- Apache'yi ilkeye getir ve OCSP zımbalamayı etkinleştir: Kuzeyyıldızı Kargo'nun lab Apache sunucusunu ilkeye uygun hâle getir, OCSP zımbalamayı aç ve yanıtın el sıkışmada geldiğini doğrula.
- E-posta sunucusunun TLS ayarlarını denetle: Lab e-posta sunucusunda STARTTLS desteğini, sertifikayı ve sürümleri denetle, eksikleri bulgu olarak yaz.
- Veritabanı ve LDAP bağlantılarında TLS'i zorunlu kıl: Lab veritabanı ve dizin servisinde şifresiz bağlantıyı kapat, istemcinin sertifikayı doğruladığını ve düz bağlantının reddedildiğini göster.
- Bir kurumun tüm TLS uç noktalarını denetle, düzelt ve raporla: Sedirli Hukuk Bürosu'nun lab ağındaki tüm TLS uç noktalarını bul, kurum TLS ilkesini yaz, uç noktaları ilkeye getir ve raporu teslim et.
Kurs hakkında
TLS el sıkışmasını, sürümleri, şifre takımlarını ve ileri gizliliği anlar; openssl s_client, testssl.sh ve Nmap ile sunucuları denetler, Nginx, Apache ve web dışı servisleri kurum TLS ilkesine göre sıkılaştırıp yeniden denetlersin.
Ne öğreneceksin
- TLS’i anlamak
- Denetlemek
- Sıkılaştırmak
- İlke
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.