Windows IIS sunucularda En İyi Uygulama SSL Ayarları

Çoğu sistemde varsayılan paket önyüklemeleri zafiyetler içerebilmektedir. Bu çoğunlukla geriye dönük uyumluluğu sağlamak için üreticiler tarafından tercih edilmektedir. Nginx ve Apache’de olduğu gibi IIS’de de standart kurulum üzerine SSL yapılandırması olduğu gibi bırakılırsa, yarardan çok zarar getirecektir.

Not: Eski tarayıcı ve mobil iş istasyonları yeni geliştirilmiş olan TLS 1.3 gibi şifreleme takımlarını desteklemeyebilir.

Web tarayıcıları ile sunucu arasında SSL/TLS iletişimi kurulduğu zaman öncelikli olarak sunucu tarafı hangi şifreleme takımları ile iletişim kurabileceğini tarayıcıya iletir. Modern web tarayıcıları, eğer yapılarında bir değişiklik yapılmadıysa, sunucunun önerdiği en güncel şifreleme takımlarını kullanmayı deneyecektir. Bir saldırgan ise sunucunun önermiş olduğu tüm şifreleme takımlarını listeleyebilir ve bunların arasında açığı olduğu bilinen şifreleme takımları ile iletişim kurmaya çalışır. Bu şifreleme takımları arasında kesinlikle açıkları olduğu bilinen SSLv3 ve TLSv1.0 da bulunmaktadır.

Yeni SSL Sertifikası Yüklemek

Yeni bir SSL sertifikası yüklemek için aşağıdaki adımları takip edin. SSL sertifikanızı yüklediyseniz ve sadece zayıf şifreleme takımlarını kapatmak istiyorsanız bu kısmı atlayabilirsiniz.

Windows tuşuna basın ve mmc (Microsoft Management Console) diye arama yapın.

mmc komutunu çalıştırınca açılan ekranda aşağıdaki CTRL+M ya da menu → Add/Remove Snap-in linkini kullanın. Bu şekilde sertifika yüklemek ve IIS’i yönetmek için gereken snap-in leri yükleyeceğiz.

Internet Information Service seçin.

Certificates → Computer Account → Local Computer seçerek ilerleyin.

Finish tuşuna bastığınızda mmc konsolunuz aşağıdaki gibi görünecektir.

Bir önceki adımlar ile eklediğiniz snap-in‘i gelecekte kullanmak adına kaydedin. Biz onlayer adında kaydettik.

Certificates dalını genişletin. Personal klasörüne sağ tuşla basın. Açılan menüde resimdeki gibi All Tasks → Import tuşlarına basın.

Açılan Certificate Import Wizard penceresinde imzalı sertifika dosyanızın yerini girin. Bir sonraki sayfada Automatically select the certificate store based on the type of certificate seçin ve ilerleyin.

Next’e basınca pencereniz kapanacaktır. Bir sonraki adım imzalı sertifikayı IIS’e eklemektir. Bunu yapmak için mmc‘ye dönün ve Internet Information Service’i seçin. Karşınızda benzeri bir görüntü olacaktır.

Sağ taraftaki Bindings tuşuna bastığınızda yeni bir pencere açılacaktır. Bu pencerede IP adresleri ile alan adınızı ilişkilendirebilirsiniz. Daha önce bir ilişkilendirme yapmadıysanız sadece bir adet ilişkilendirme görürsünüz.

HTTPS ilişkilendirmesini yapmak için add tuşuna basın.

Type için https seçin. Eğer HTTPS bağlantılarını belirli bir IP adresinin dinlemesini istiyorsanız menüden istediğiniz IP adresini seçim. Biz burada ALL Unassigned seçimini yaptık. Bu şekilde HTTPS sunucumuz atanmış IP adresleri içeren tüm arayüzleri dinleyecektir.

Host name değerini girerseniz sadece bu alana eşleşen isteklerde bu SSL sertifikası kullanılacaktır. Eğer birden fazla SSL içerikli web sitesi sunmak istiyorsanız bu ayar önemlidir.

Son olarak mmc ile yüklediğiniz SSL sertifikanızı seçin ve OK’a basın.

Eski SSL Şifreleme Protokollerini Kapatmak

Şifreleme takımlarının doğru ayarında bir numaralı işlem eski ve güvensiz protokollerin kapatılmasıdır. Bu ayarı yapmak için aşağıdaki adımları takip edin.Windows tuşuna basıp regedit.exe diye arama yapın ve çalıştırın. Açılan pencerede birçok dal göreceksiniz.

Herhangi birşeyi değiştirmeden önce sistemi yedekleyin.Bunu yapmak için file → export. Açılan kaydetme menüsünde export range ayarının All olduğundan emin olun ve kaydedin. Eğer bir hata olursa bu dosyayı kullanarak hata önceki ayarlara geri dönebilirsiniz.

regedit‘te belirtilen dala gidin: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Protocols\

Bu noktada birçok protokolün listesini göreceksiniz. Bizim durumumuzda sadece SSL 2.0 dalı bulunuyor. SSL 3.0, TLS 1.0 ve TLS 1.1’i kapatmak istiyoruz ancak hiçbiri listede gözükmüyor. Bunların her birini listeye ekleyip kullanılmamaları için ayarlamak için:

Protocols sağ klik → New → Key şeklinde gösterilen gibi ilerleyerek diğer protokolleri ekleyin.

Key adını “SSL 3.0” yapın ve 5. adımdaki gibi bu sefer Protocols yerine yeni açılan SSL 3.0’ın altında Client ve Server olarak iki tane daha dal açın.

Client dalında sağ klik → New → DWORD32 tuşlarına basın. Açtığınız DWORD32’ye DisabledByDefault adını verip değerini 1 yapın.

Server dalında sağ klik → New → DWORD32 tuşlarına basın. Açtığınız DWORD32’ye Enabled adını verip değerini 0 yapın. SSL 2.0 dalının altında Server yoksa ekleyip aynı işlemleri yapın.

5-8. adımları kapatmak istediğiniz diğer protokoller (TLS 1.0, TLS 1.1) için tekrarlayın. Bu işlemlerin sonunda aşağıdaki resme benzer bir manzarayla karşılaşmalısınız:

Güvensiz Şifreleme Takımlarını Kapatmak

Son olarak yapmanız gereken güvensiz şifreleme metotlarını kapatarak sadece güçlü şifreleme takımları kullanarak SSL ayarınızın olabildiğince güvenli olmasını sağlamak.

Öncelikle regedit’te belirtilen dala gidin: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Ciphers\

Ciphers üzerinde sağ klik ile 4 yeni Key ekleyin: RC4 128/128, RC4 40/128, RC4 56/128 ve Triple DES 168.

Her yeni yaratılan anahtar için Enabled adında bir DWORD32 yaratıp değerini 0 yapın. Bu ayar ile bir önceki adımda belirtilen 4 şifreleme takımının sunucunuz tarafından kullanılmasını kapattınız.

Değişikliklerin uygulamaya geçmesi için sunucunuzu baştan başlatın. Artık SSL bağlantılarınız PCI-DSS uyumlu!

Yasal Uyarı

Bu sayfadaki içeriğin kullanımı sadece bu sayfaya link ile atıf yapılarak mümkündür. Yazılı izin olmadan değiştirilemez ve alıntı yapılamaz.

Kullanım Uyarısı: Burada belirtilen direktifler olduğu gibidir ve uygulanması sonucunda oluşabilecek servis kesintileri ve veri kaybından ONLAYER sorumlu değildir. Sistemlerin daha iyi çalışabileceği ya da daha güvenli olacağına dair hiç bir garanti verilmemektedir. Ne firma ne de yazar kullanımdan dolayı hiçbir sorumluluk kabul etmemektedir.