Sertifika, alan adı ana bilgisayar adını, sahibini ve diğer şeyleri içeren bir veri bloğudur. Sertifika daha sonra sertifikadaki bilgilerin doğru olduğunu garanti eden Sertifika Yetkilisi tarafından kriptografik olarak imzalanır. İmzalama aynı zamanda bir sağlama toplamı işlevi de görür; dolayısıyla sertifikadaki herhangi bir bilgi değiştirilirse imzalama artık geçerli olmaz. İstemci tarayıcısı sertifikaya ve onu imzalayan Sertifika Yetkilisine bakar. Sertifika, bağlanmaya çalıştığı etki alanıyla eşleşiyorsa ve güvendiği bir Sertifika Yetkilisi tarafından imzalanmışsa TLS/SSL anlaşmasını tamamlar. Bundan sonra bağlantının geri kalanı şifrelenir ve istemci, HTTP isteğini gönderir.

Sertifika Yetkilisi (CA), iki farklı anlama gelebilen bir terimdir. Diğer sertifikaları imzalama yeteneğine sahip özel bir sertifika türü anlamına gelebilir. Sertifika Yetkilisi, diğer şirketler için sertifika imzalayabilen bir Sertifika Yetkilisini (bir tür sertifika) kontrol eden bir şirket türünü de ifade edebilir. Birçok CA şirketinin CA sertifikaları tüm tarayıcılarda varsayılan olarak güvenilirdir (genellikle Güvenilen Kök CA veya Genel Kök CA olarak adlandırılır). Bu şekilde, bir kuruluş genel bir CA'ya gidebilir ve tüm tarayıcıların otomatik olarak güvendiği bir CA tarafından imzalanan bir sertifika oluşturmasını sağlayabilir.

Tarayıcınızda https://www.example.com adresine gittiğinizde sertifikayı inceleyebilir ve Sertifika Yetkilisinin imzaladığını görebilirsiniz. Tarayıcınız, Digicert tarafından imzalanan tüm sertifikalara güvenecek şekilde bunu önceden yüklemiştir, dolayısıyla www.example.com'un söylediği kişi olduğuna güvenir. Tarayıcı o web sitesine gitmeyi denediğinde güvenmediği bir kişi tarafından imzalanmış bir sertifika alırsa kullanıcıyı uyarır. Site ayrıca HSTS (HTTP Sıkı Aktarım Güvenliği) adı verilen bir şey kullanıyorsa, uyarı atlayamayacağınız bir uyarı olacaktır.

Güvenlik duvarı, güvenilmeyen bir Sertifika Yetkilisinden oluşturulmuş bir sertifikayla birlikte kurulu olarak gelir ve ana bilgisayar adını bile kapsamaz (çünkü bu, kurulumdan sonra ayarlanır). Bu sertifika, bir istemci güvenlik duvarının kendisinde barındırılan bir sayfaya gittiğinde kullanılır (burada güvenlik duvarının ana bilgisayar adı veya IP'si adres çubuğunda görünür). Çoğu yönetici, doğrudan kurulumdan gelen sertifikayı kullanmak yerine, bir sertifikayı yeniden oluşturmak veya yüklemek isteyecektir. Tarayıcınızın zaten güvendiği bir Sertifika Yetkilisinden sertifika satın alabilirsiniz. Bu sertifika, HTTPS şifre çözme ve tarama yapıyor olsanız da olmasanız da birçok şey için kullanılır.

Güvenlik duvarının web proxy kısmı aynı zamanda ortadaki adam HTTPS şifre çözme ve tarama yaparken kullandığı kendi Sertifika Yetkilisine de sahiptir. Bir tarayıcı https://www.example.com adresine gittiğinde , sertifikaya bakarsanız Sophos CA'nın bunu imzaladığını görürsünüz. Tarayıcı Sophos CA'ya otomatik olarak güvenmediğinden bir uyarı gösterecektir.

Güvenlik duvarı sertifikası ile web proxy'sinin Sertifika Yetkilisinden anında oluşturulan sertifikalar arasındaki farkı anlamak önemlidir. Hiçbir kullanıcının uyarı görmemesi için güvenlik duvarı sertifikası satın alınabilir. Sertifika Yetkilisinden oluşturulan sertifikalar, tarayıcıda güvenlik duvarının Sertifika Yetkilisi kurulu olmadığı (güvenilir) olmadığı sürece kullanıcılara uyarılar sunacaktır.

Sertifika Yetkilileri bir "kök CA" (üst düzey, başkası tarafından imzalanmayan) veya "ara" / "yaprak" CA olabilir. İkincisi sertifikaları imzalayabilir ancak kendisi bir kök CA tarafından imzalanmıştır. Bazen sertifika oluşturma ve imzalama eylemine sertifika verme adı verilir. Bu nedenle belirli bir CA'dan sertifika verildiği söyleniyor. Bazı tarayıcılar aynı zamanda belirli bir CA'nın sertifikayı imzaladığı anlamına gelen "Doğrulayan" ifadesini de kullanır.

HTTPS Şifre Çözme ve Tarama Nedir?

Ortadaki adam, kulak misafiri olan kişinin (istemciye) web sunucusu gibi davranması ve daha sonra bilgileri gerçek web sunucusuna aktarırken istemci gibi davranmasıdır. HTTPS şifre çözme ve taramayı açtığınızda, web proxy'si HTTPS trafiğinin ortadaki adam şifresini çözmeye başlayacaktır.

Web sunucusu ile web proxy arasında bir TLS/SSL oturumu kurulur ve web proxy ile istemci tarayıcısı arasında ikinci bir TLS/SSL oturumu kurulur. Web proxy'si, anında yeni bir sertifika oluşturmak için sunucunun gerçek sertifikasındaki bilgileri kullanacak ve ardından bunu kendi Sertifika Yetkilisini kullanarak imzalayacaktır. Bu yeni sertifika, TLS/SSL anlaşmasıyla istemci tarayıcısına aktarılır. Ana bilgisayar adı, tarayıcının bağlanmaya çalıştığı siteyle eşleşmeyeceğinden web proxy'sinin güvenlik duvarının sertifikasını kullanamayacağını unutmamak önemlidir. Trafiğin şifresini çözemeyeceği için gerçek web sunucusundaki gerçek sertifikayı yeniden kullanamaz. Şifre çözme için kullanabileceği yeni bir sertifika oluşturmalı ve ardından bu sertifikayı imzalatmalıdır.

İstemci tarayıcısı sertifikayı kabul ederse ve TLS/SSL anlaşmasını tamamlarsa, şifreli bağlantı üzerinden web sunucusu olduğunu düşündüğü şeye, ancak gerçekte web proxy'sine bir HTTP isteği gönderir. Proxy, web sitesinin kimliğine bürünür, verilerin şifresini çözer, tarar ve her türlü politikayı uygular. Daha sonra web sunucusuna gönderilecek verileri yeniden şifreler (artık tarayıcıymış gibi davranır). Cevapta da aynı şey oluyor.

İstemci tarayıcısı doğru görünen ancak güvenmediği bir Sertifika Yetkilisi tarafından imzalanmış bir sertifika görürse TLS/SSL anlaşmasını tamamlamaz. Kullanıcılar HTTPS yaparken tarayıcıların güvenlik tasarımından dolayı uyarı alacaktır. HTTPS, kullanıcının haberi olmadan hiç kimsenin konuşmaya kulak misafiri olamayacağı şekilde tasarlanmış ve uygulanmıştır.

Tarayıcılar, yalnızca bu web sitelerine yönelik uyarıları önleyen ek, belirli güvenilir web sitesi sertifikalarına sahip olabilir. Tarayıcılar, sertifikanın güvenilmeyen bir CA tarafından imzalanmasından kaynaklanan uyarıları önleyerek, kendilerine güvenilen ek Sertifika Yetkililerine sahip olabilir. Bu nedenle, bir ağ yöneticisi web proxy'sinin Sertifika Yetkilisini her bilgisayara/tarayıcıya yükleyebilir (güvenebilir); web proxy'si bir sertifika oluşturup bunu CA'sıyla imzaladığında, tarayıcı bu CA'ya güvenir ve bağlantıyı kurar.

HTTPS şifre çözme ve tarama açık olmadığında ve bir istemci tarayıcısı bir web sitesine ilk HTTPS isteğinde bulunduğunda, web tarayıcısı, web sitesinin etki alanı adına sahip SNI bilgileriyle bir TLS/SSL bağlantısı kurmaya başlayacaktır. Örneğin, tarayıcı www.google.com/search adresini isteyebilir , ancak proxy yalnızca www.google.com için SNI ile bir TLS/SSL bağlantısı görecektir. Veya masumsite.com/.malware.exe'yi istiyor olabilir ve proxy yalnızca masumsite.com'u görüyor olabilir. TLS/SSL bağlantısı tamamen kurulduktan ve şifrelenmiş bir tünel oluşturulduktan sonra proxy, içindeki HTTP isteklerini ve yanıtlarını göremez. Bu nedenle yalnızca bağlantı kurulurken SNI'deki etki alanı kategorisine göre bloklama gerçekleştirebilir. İndirilen dosyaların yoluna veya virüs taramasına göre kategorilere ayıramaz veya engelleyemez. İletilen toplam bayt sayısını ve bağlantı süresini biliyor.