Böyle şeyler dönüyormuş, tam anlamadım uzman olmadığım için ama TSL ve sertifika olayları ilgili galiba..
https://x.com/NathanMcNulty/status/1983041763230318614
Böyle şeyler dönüyormuş, tam anlamadım uzman olmadığım için ama TSL ve sertifika olayları ilgili galiba..
https://x.com/NathanMcNulty/status/1983041763230318614
sertifika pinleme güvenlik için iyi bir uyulama, sunucuyla bağlantı sırasında araya girenleri engellemek için yapılır. genelde şirketler çalışan bilgisayarlarında her şeyi izlemek istediği için bu pek hoşlarına gitmeyecektir.
Buna son kullanıcı tarafında engel olmanın yolu vardır herhalde...?
@lterlemez neden engel olmak isteyesin ki, kullanıcının yararına bir şey bu. sunucu ile senin arana kimse giremiyor, uygulama hep doğru yere bağlandığına emin oluyor.
windows'ta bir şekil yapılabilir bir dosyayı vb. değiştirerek ama mobilde zor olur.
@mypat Faydalı bir şey ama faydalı olduğu gibi kullanılmayacağı kesin, mesela sizin de dediğiniz gibi: "genelde şirketler çalışan bilgisayarlarında her şeyi izlemek istediği için bu pek hoşlarına gitmeyecektir."
Ya da farklı amaçlar için, mesela reklamcılık için MS'in kullanmayacağını kim garanti edecek?
Uygunsuz ya da kotuye kullanilabilecek birsey degil, hatta guvenlik acisindan faydali birsey.
SSL teknolojisi kaynak sunucu ile aranizdaki baglantinin sifreli ve mudahale edilmemis oldugunu garantilemek icin kullaniliyor. SSL sertifikalarinda "CA -> Araci sertifikalar -> Alan adi sertifikasi" seklinde bir zincir oluyor. Guvenilir CA'lar isletim sistemi ve/veya tarayici tarafinda tanimlaniyor. Baglandiginiz websitesi, ornegin microsoft.com, size guvenilir "herhangi" bir CA tarafindan, microsoft.com alan adi icin olusturulmus bir sertifika gonderirse baglanti guvenli sayiliyor. Fakat kurumsal aglarda bu akis suistimal edilerek baglanti SSL bile olsa araya girmek mumkun oluyor.
Sirket bilgisayarlarina sirketin kendi sertifika otoritesi (CA) bilgileri guvenilir olarak ekliyor. Daha sonra sirket takip etmek istedigi alan adlari icin kendi sertifikalarini uretiyor. (google.com, microsoft.com etc.) Sirketin CA bilgisi sistemlere ekli oldugu icin bu "sahte" sertifikalar baglanti sirasinda hata ya da uyariya yol acmiyor. Boylece IT departmani baglantinin arasina girip baglantiyi inceleme, mudahale etme imkani elde ediyor.
SSL pinning, uygulama gelistiricilere sertifikanin hangi CA tarafindan olusturuldugunu da dogrulama imkani veriyor. Microsoft Teams uygulamasina "SSL sertifikalarinin CA'si 'Microsoft Corporation' olmali." seklinde bir tanimlama ekleniyor. IT araya girip, kendi urettigi microsoft.com sertifikasini kullanmaya calistiginda CA kontrolune takiliyor ve hata veriyor.
Kurumsal ortamlar icin sorun yaratabilecek bir durum fakat son kullanicisi acisindan yararli. bknz. https://www.aa.com.tr/tr/bilim-teknoloji/sanal-alemde-sahte-sertifika-alarmi/289036#