SSL Pinning Nedir? Mobil Uygulamalarda Neden Önemlidir?
· Mobil Güvenlik
SSL Pinning (Sertifika Sabitleme), bir mobil uygulama veya istemci uygulamasının TLS bağlantısında yalnızca önceden tanımlanmış belirli bir sertifika ya da public key'e güvenmesini zorunlu kılan güvenlik tekniğidir. Standart TLS doğrulamasının ötesinde ek bir koruma katmanı sağlar.
Neden Standart TLS Yeterli Değil?
Standart TLS doğrulamasında uygulama, işletim sistemindeki güvenilir CA listesinde yer alan herhangi bir CA tarafından imzalanmış sertifikaya güvenir. Bu durum, kurumsal güvenlik duvarları veya kötü amaçlı yazılımlar tarafından cihaza yüklenen sahte CA sertifikaları aracılığıyla gerçekleştirilen MITM (Man-in-the-Middle) saldırılarına açık kapı bırakabilir. Özellikle mobil uygulamaların API trafiği bu tür saldırıların hedefi olabilir.
Sertifika Pinning ve Public Key Pinning
Sertifika Pinning: Uygulama, belirli bir sertifika dosyasını (veya hash'ini) kendi içinde barındırır. Sunucudan gelen sertifika bu sabitlenmiş değerle eşleşmezse bağlantı reddedilir. Sertifika yenilendiğinde uygulama güncellemesi zorunludur.
Public Key Pinning: Sertifika yerine, sertifikanın içindeki public key sabitlenilagüncellemesi sertifika yenilendiğinde bile gerekli değildir. Daha esnek bir yaklaşımdır; ancak public key değiştirildiğinde (örneğin algoritma değişikliğinde) güncelleme şarttır.
Uygulama Yöntemleri
- Android: Network Security Config (XML tabanlı, API 24+) veya OkHttp CertificatePinner sınıfı kullanılır.
- iOS: URLSession ile NSURLSession ve SecTrustEvaluate API'leri, ya da TrustKit kütüphanesi kullanılabilir.
- Flutter/React Native: Platforma özgü kanallar veya http_certificate_pinning gibi kütüphaneler kullanılır.
Riskler ve Dikkat Edilmesi Gerekenler
Sertifika yenileme: Pinning uyguladığınızda sertifika yenileme planınız bir uygulama güncellemesini de kapsamalıdır. Güncelleme mağazada onaylanmadan önce eski sertifika süresi dolarsa tüm kullanıcılar bağlantı kuramaz hale gelir.
Backup pin: Olası bir sertifika değişikliğine karşı her zaman en az bir yedek pin tanımlayın.
HPKP'nin sonu: Web üzerinde Public Key Pinning için kullanılan HPKP (HTTP Public Key Pinning) başlığı, yönetim zorlukları ve site erişim engelleme riskleri nedeniyle tüm büyük tarayıcılar tarafından kaldırıldı. Mobil uygulamalar için pinning hâlâ önerilen bir uygulamadır; ancak dikkatli yönetim gerektirir.
İhtiyacınıza uygun sertifikayı seçmek için PekiSSL ürün sayfasını ziyaret edin.