Posta Sunucusu Sertifikası: Şifreli Bağlantıda Ad Uyuşmazlığı
Posta hesabınızı kurarken istemci bir güvenlik uyarısı gösteriyor: sertifika adı sunucu adıyla eşleşmiyor. Kullanıcılar "yine de devam et" diyerek geçiyor ve her şey çalışıyor. Ama bu uyarı, gerçek bir saldırıyı da aynı biçimde göstereceği için tehlikelidir.
Bu yazı, posta sunucusu sertifikalarını ele alıyor.
Sertifika Nerede Kullanılır
| Bağlantı | Sertifika ihtiyacı |
|---|---|
| İstemciden gönderim | Doğrulanır |
| İstemciden okuma | Doğrulanır |
| Sunucular arası teslim | Genellikle doğrulanmaz |
Üçüncü satır e-posta güvenliğinin bilinen bir zayıflığıdır: sunucular arası teslimde şifreleme genellikle fırsatçıdır — bağlantı şifrelenir ama karşı tarafın sertifikası çoğu zaman doğrulanmaz, bu da araya girme saldırısına teorik olarak açık bırakır.
Bu davranışın nedeni uyumluluktur.
Katı doğrulama, teslimatı engelleyebilir.
İlk iki satırda ise doğrulama katıdır.
Ad Uyuşmazlığı
- İstemci bir sunucu adına bağlanır.
- Sertifikadaki ad kontrol edilir.
- Eşleşmezse uyarı verilir.
Üçüncü adım en sık karşılaşılan kurulum sorunudur: kullanıcılara kendi alan adlarındaki posta adresini girmelerini söyleyip sunucuda barındırma sağlayıcısının sertifikasını sunmak, her kurulumda güvenlik uyarısı üretir.
Kullanıcı uyarıyı geçmeyi öğrenir.
Bu alışkanlık gerçek saldırıda da tekrarlanır.
Çözüm, tutarlı bir sunucu adı kullanmaktır.
Doğru Kurulum
- Tek bir sunucu adı belirleyin.
- Sertifikayı o ada alın.
- Tüm istemcilere onu tanıtın.
Üçüncü madde tutarlılığı sağlar: her müşteri kendi alan adını sunucu adı olarak kullanmak yerine ortak bir posta sunucusu adına bağlanırsa, tek bir sertifika tüm kurulumları uyarısız çalıştırır.
Bu ad belgelerde açıkça yazılmalıdır.
Kurulum kılavuzları buna göre hazırlanmalıdır.
İkinci madde ise sertifika kapsamını belirler.
Sertifika Kapsamı
| Tür | Kapsam |
|---|---|
| Tek ad | Yalnızca o ad |
| Çoklu ad | Listelenen adlar |
| Joker | Tüm alt adlar |
İkinci satır posta sunucularında sık tercih edilir: gönderim ve okuma için farklı sunucu adları kullanılıyorsa, ikisini de içeren tek bir sertifika almak yönetimi basitleştirir — ayrı sertifikalar ayrı yenileme takibi demektir.
Üçüncü satır ise çok sayıda alt ad varsa uygundur.
Ancak joker sertifikalar daha dikkatli korunmalıdır.
Sızması durumunda tüm alt adlar etkilenir.
Yenileme Takibi
- Süre dolarsa istemciler bağlanamaz.
- Uyarı verilip geçilebilir ama risklidir.
- Otomasyon kurulmalıdır.
Birinci madde web sitesinden daha sert bir etki üretir: süresi dolan bir posta sertifikası tüm çalışanların e-posta erişimini aynı anda keser — web sitesindeki bir sertifika sorunu ziyaretçiyi rahatsız ederken, posta sertifikası doğrudan iş durdurur.
Bu nedenle izleme daha kritiktir.
Üçüncü madde riski ortadan kaldırır.
Otomatik yenileme sonrası servis yeniden yüklenmelidir.
Bu adım sıkça unutulur.
Servisi Yeniden Yüklemek
- Sertifika dosyası güncellenir.
- Servis eskisini bellekte tutar.
- Yeniden yükleme gerekir.
İkinci madde kafa karıştırıcı bir duruma yol açar: dosyayı güncellemenize rağmen sunucu hâlâ eski sertifikayı sunuyorsa, servis onu başlangıçta belleğe almış demektir — yeniden yüklenene kadar yeni sertifika kullanılmaz.
Bu, otomatik yenilemede sık yaşanır.
Yenileme betiğine yeniden yükleme adımı eklenmelidir.
Aksi hâlde sertifika yenilenir ama sunulmaz.
Dışarıdan Doğrulama
- Bağlantı kurup sertifikayı görün.
- Ad ve süreyi kontrol edin.
- Zinciri doğrulayın.
Üçüncü madde web sunucularındakiyle aynı sorunu kapsar: posta sunucusunda da ara sertifika eksikliği yaşanabilir ve bazı istemciler bağlanamaz — tarayıcıların aksine posta istemcileri eksik zinciri tamamlamaya çalışmaz.
Bu, teşhisi zorlaştırır.
Bazı kullanıcılar bağlanır, bazıları bağlanamaz.
Kontrol komut satırı araçlarıyla yapılır.
İstemci Ayarları
| Ayar | Öneri |
|---|---|
| Şifreleme zorunlu | Açık olmalı |
| Sertifika doğrulama | Kapatılmamalı |
| Şifresiz bağlantıya izin | Kapatılmalı |
İkinci satır çok sık ihlal edilir: sertifika doğrulamasını kapatmak uyarıyı susturur ama korumayı da tamamen kaldırır — bağlantı şifreli kalır fakat karşı tarafın gerçekten sizin sunucunuz olduğu artık doğrulanmaz.
Bu, kolay çözüm gibi görünür.
Ama asıl sorunu gizler.
Doğru çözüm sertifikayı düzeltmektir.
Sunucular Arası Zorunluluk
- Şifreleme zorunlu kılınabilir.
- Politika kaydıyla ilan edilir.
- Raporlama açılabilir.
İkinci madde fırsatçı şifrelemenin zayıflığını kapatır: alan adınız için şifreli teslimatı zorunlu ilan eden bir politika yayımlamak, gönderen sunucuların şifresiz bağlantıya düşmesini engeller ve araya girme saldırılarını etkisiz kılar.
Bu politika DNS üzerinden duyurulur.
Yanlış yapılandırılırsa gelen posta durur.
Üçüncü madde bu riski azaltır.
Önce yalnızca raporlama modunda başlatılmalıdır.
Posta sunucusu sertifikalarını ve şifreleme politikalarını doğru kurmak altyapı bilgisi gerektirir; kurumsal e-posta hizmeti ile sertifika yönetimini sağlayıcı tarafında bırakabilirsiniz.
Sonuç
Kurulumda çıkan sertifika uyarısı zararsız görünür ama alışkanlık yaratır: uyarıyı geçmeyi öğrenen kullanıcı, gerçek bir saldırıda da aynısını yapar. Tek bir sunucu adı belirleyip sertifikayı ona alın, yenilemeyi otomatikleştirin ve yenileme sonrası servisi yeniden yükleyin — aksi hâlde sertifika yenilenir ama eski olan sunulmaya devam eder.
Sıkça Sorulan Sorular (SSS)
Kurulumda çıkan sertifika uyarısı neden önemli?
Kullanıcı uyarıyı geçmeyi öğrenir ve bu alışkanlık gerçek bir saldırıda da tekrarlanır. Uyarı genellikle, kullanıcıların kendi alan adını sunucu adı olarak girmesi ama sunucunun farklı bir ada ait sertifika sunmasından doğar.
Sertifika doğrulamasını kapatabilir miyim?
Kapatmayın. Uyarıyı susturur ama korumayı da kaldırır; bağlantı şifreli kalır fakat karşı tarafın gerçekten sizin sunucunuz olduğu doğrulanmaz. Doğru çözüm sertifikayı düzeltmektir.
Sertifikayı yeniledim ama eski görünüyor?
Servis sertifikayı başlangıçta belleğe almıştır; yeniden yüklenene kadar yenisi kullanılmaz. Otomatik yenileme betiğinize servis yeniden yükleme adımını ekleyin, aksi hâlde sertifika yenilenir ama sunulmaz.
Sunucular arası teslimde şifreleme yeterli mi?
Genellikle fırsatçıdır: bağlantı şifrelenir ama karşı tarafın sertifikası çoğu zaman doğrulanmaz. Alan adınız için şifreli teslimatı zorunlu ilan eden bir politika yayımlayarak bu zayıflığı kapatabilirsiniz; önce yalnızca raporlama modunda başlatın.
