Şifreleme nedir sorusunun günlük hayattaki karşılığı adres çubuğundaki kilit: bu siteyle alışverişiniz, sayfa içeriği, formlar, şifreler, yol üzerindeki hiç kimse tarafından okunamaz ve değiştirilemez. Ne servis sağlayıcı, ne kafenin Wi-Fi'ının sahibi, ne aynı ağdaki komşu. Bu gerçek bir kazanım ve internetin on yıl öncesinden çok daha güvenli olmasının nedeni. Ama kilit "kimse ne yaptığımı bilmiyor" demek değil: hangi siteye girdiğiniz, ne zaman, ne kadar veri aktardığınız, yol üzerindekilere görünmeye devam eder.

Bu yazı şifrelemenin ne yaptığını, HTTPS'in neyi kapatıp neyi açık bıraktığını, AES ve uçtan uca gibi terimlerin nerede durduğunu, kilidin sahte siteyi neden engellemediğini ve kalan boşlukları kapatan iki katmanı, şifreli DNS ve VPN'i anlatıyor.

Şifreleme ne yapar

Okunabilir veriyi, yalnızca anahtarı olanın geri çevirebileceği bir karmaşaya dönüştürür. İki büyük aile var. Simetrik şifreleme, AES gibi: aynı anahtar hem kilitler hem açar, hızlıdır, büyük veriyi taşır. Açık anahtarlı şifreleme, RSA ve eliptik eğri yöntemleri gibi: bir açık, bir özel anahtar; asıl işi, iki tarafın daha önce hiç tanışmadan güvenli biçimde ortak bir simetrik anahtar üzerinde anlaşmasını sağlamaktır. Tarayıcınız bir siteye bağlanırken önce ikinci aileyle anahtar üzerinde anlaşır, sonra birinci aileyle içeriği taşır. Kilit tam olarak bu iki adımın başarıyla tamamlandığını söyler.

HTTPS neyi şifreler

El sıkışmadan sonra tarayıcı ile sunucu arasında geçen her şeyi: sayfa metni, görseller, formlara yazdıklarınız, şifreler, çerezler, uygulamaların HTTPS kullanan sunucu istekleri. Ayrıca sertifika yoluyla sunucunun iddia ettiği alan adının sahibi olduğunu ve içeriğin yolda değiştirilmediğini garanti eder. Kafenin modemi mesajlarınızı okuyamaz ya da açtığınız sayfaya reklam sokamaz; kafe ağının kilide rağmen ne gördüğü Halka açık Wi-Fi güvenli mi yazısında.

Neyi açık bırakır

Sitenin adı. Şifreleme başlamadan önce cihazınız DNS sunucusuna "bu sitenin adresi ne" diye genellikle açık metinle sorar. Ardından TLS el sıkışmasının ilk paketinde sunucu adı, SNI denen alanda, açık gider; sunucu hangi sertifikayı sunacağını böyle bilir. Servis sağlayıcı bir bankaya ya da bir hastane sitesine girdiğinizi bilir, hangi sayfa ya da hangi hesap olduğunu bilmez.

Zaman ve hacim. Ne zaman bağlandığınız, ne kadar sürdüğü, ne kadar taşındığı; trafik şekli görüntülü görüşmeyi indirmeden şifreliyken bile ayırır.

Adresiniz. Site gerçek IP'nizi, ondan da yaklaşık şehrinizi ve sağlayıcınızı görür.

Kendi verdikleriniz. Oturum açma, formlara yazdıklarınız, tarayıcı parmak iziniz. Şifreleme yolu korur, yolun sonunda söylediklerinizi değil; parmak izinin ne söylediği Gizlilik Denetleyicisi ile görülür.

Uçtan uca şifreleme farkı

HTTPS'te şifreleme sizinle sunucu arasındadır; sunucu içeriği görür, görmek zorundadır, çünkü sayfayı o üretir. Uçtan uca şifrelemede, mesajlaşma uygulamalarındaki gibi, şifreleme sizinle karşı taraf arasındadır ve aradaki sunucu yalnızca şifreli paketleri taşır. Aynı kelime, iki farklı taahhüt: HTTPS "yolda kimse okuyamaz" der; uçtan uca "sunucu bile okuyamaz" der. Hangi uygulamanın hangisini kullandığı, gizlilik açısından kilitten daha önemli bir sorudur.

Kilit iyi hal belgesi değildir

Kilit, bağlantının şifreli ve sertifikanın bu alan adı için geçerli olduğunu söyler. Sitenin dürüst olduğunu söylemez: bir bankayı taklit eden oltalama sayfası dakikalar içinde geçerli bir kilit alır, çünkü sertifika alan adının sahibine verilir, güvenilene değil. Alan adının kendisini okuyun, yalnızca kilide bakmayın. Halka açık bir ağda kilit yerine sertifika uyarısı görürseniz atlamayın; araya girme girişimi tam olarak böyle görünür.

Şifrelemenin çalıştığını kontrol etmek

  1. Adres çubuğundaki kilit ya da ayar simgesi, ardından "bağlantı güvenli" ve sertifika ayrıntıları: kime verildiği, kimin verdiği.
  2. Tarayıcının geliştirici araçlarında protokol: TLS 1.3 ya da 1.2. Daha eskisi şüphe konusudur.
  3. Uygulamalar: her uygulama tarayıcı kadar sıkı değildir; eski bir uygulama ya da akıllı ev cihazı şifresiz veri gönderebilir. Aktarımın gerçekten şifreli olup olmadığı, bağlantı türünden bağımsız aynı yöntemle görülür.

Sonraki katman: şifreli DNS

DNS over HTTPS ya da TLS, "bu site nerede" sorusunu şifreli bağlantıya sarar; servis sağlayıcı ve ağ sahibi soruyu görmez, yanlış adresle cevaplamak da zorlaşır. SNI'deki sunucu adı çoğu bağlantıda hâlâ açıktır; Encrypted Client Hello adlı daha yeni uzantı, site ve ağ desteklediğinde onu da gizler, destek henüz kısmi. İkisi birlikte sağlayıcının gördüğünü IP adreslerine ve trafik şekline indirir. Ücretsizdir.

Son katman: VPN

Tünel, DNS ve SNI dahil cihazınızdan çıkan her şeyi tek bir sunucuya giden tek bir şifreli bağlantıya sarar. Sağlayıcı ve ağ sahibi için: tek hedef, hacim, ad yok. Site ise sizin yerinize sunucunun adresini görür. Tünelin değiştirmediği şeyler: oturum açarken kendi verdikleriniz, tarayıcı parmak iziniz ve artık sağlayıcının koltuğunda oturan VPN servisinin politikası. Neyin korunup neyin korunmadığı VPN nedir, nasıl çalışır yazısında; tünelin doğru çalıştığı IP adresim nedir ve IPv6 sızıntı testi ile görülür.

Üç katmanda özet

  1. HTTPS içeriği ve şifreleri yoldan korur; bugün çoğu sitede hazır.
  2. Şifreli DNS site adlarını sağlayıcıdan gizler; ücretsiz, açmaya değer.
  3. VPN adları ve adresi bütün uygulamalar için gizler; DNS tünelde ve kill switch açık olmak şartıyla.

Kilit, "bunu biri okuyabilir mi" sorusuna hayır der. "Biri nerede olduğumu biliyor mu" sorusuna cevap vermez; o soru için iki katman daha var.

404 VPN'de DNS sorguları VLESS ya da WireGuard tünelinin içinde çözülür, kill switch vardır ve gizlilik politikası tarama geçmişinin ve DNS sorgularının saklanmadığını yazar. İlk iki katman sizin elinizde; üçüncüsü ana sayfadan başlar.