SSL test suit tasarlanması ve web tarayıcıların sertifika doğrulama davranışlarının test edilmesi
Designing SSL test suite and testing certificate validation behavior of web browsers
Yazar: MERVE MELİS ŞİMŞEK
Danışman: DR. ÖĞR. ÜYESİ HÜSEYİN TEMUÇİN
Gazi Üniversitesi / Fen Bilimleri Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı
Derece: Yüksek Lisans, 2022
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control
Dizin: Açık anahtarlı kripto sistemler = Public key cryptosystems ; Bilgi güvenliği = Information security ; Elektronik sertifika = Electronic certification ; SSL = Secure socket layer

Özet:
Günümüzde, kişisel veriler ve kredi kartı bilgileri gibi hassas verilerle işlem yapılan ve yüksek güvenliğin ön planda olduğu e-ticaret ve bankacılık faaliyetleri dahil olmak üzere kullanıcı ihtiyaçlarının çoğu internet ortamında karşılanmaktadır. Teknolojideki gelişmelerle internet kullanımının hayatın her alanında yaygınlaşması, web sitelerine erişimde en temel yazılım parçalarından olan web tarayıcılarını internetin vazgeçilmez unsuru haline getirmiştir. Kötü niyetli bir saldırı öngörülemeyen sonuçlara neden olabileceğinden kullanıcı ile web sitesi arasındaki iletişimin güvenliği önemli bir konudur. Web tarayıcıları, web sitesine bağlanmadan önce güvenli bir iletişim kanalı oluşturmak için HTTPS protokolünü kullanarak web sitesinin kimliğini SSL sertifikaları ile doğrular. Açık Anahtar Altyapısına (Public Key Infrastructure, PKI) dayanan bu sertifikaların güvenilirliği, istemci yazılımı tarafından güvenilir kabul edilen bir Sertifika Otoritesi (Certificate Authority, CA) tarafından belirli kriterlere uygun olarak üretilmesine bağlıdır. CA'ların sertifika üretiminde uyması gereken şartlar, ekosistemin güvenliğinde önemli rol oynayan web tarayıcılar, CA'lar ve diğer PKI bileşenlerinden oluşan Certificate Authority/Browser (CA/B) Forum gönüllü kuruluşu tarafından belirlenmektedir. Sertifikalarda kullanılabilecek kriptografik algoritmalar ve anahtar uzunlukları veya bir sertifikanın maksimum yaşam süresinin ne olabileceği gibi kriterler, CA/B Forum tarafından yayımlanan Temel Gereksinimler (Baseline Requirements, BR) dokümanında açıklanmaktadır. SSL bağlantılarının güvenliği için sertifikaların bu kriterlere uygun olarak üretilmesi son derece önemlidir. Ancak kullanıcılar adına sertifikanın doğrulanmasını gerçekleştiren web tarayıcıların bu görevi ne kadar başarılı bir şekilde gerçekleştirdiği de en az bunun kadar önemlidir. Bu tez çalışmasında, web tarayıcıların sertifika doğrulama davranışlarının etkin bir şekilde analiz edilebilmesi amacıyla kapsamlı bir SSL sertifikası açık anahtar altyapısı (SSL Test Suit) kurulmuştur. BR dokümanına uygun olmayan sertifikalardan oluşan bu suit ile gerçekleştirilen testler, web tarayıcıların doğrulamadaki kusurlarını ortaya koymuştur.

Abstract:
Today, most of the user needs including e-commerce and banking activities where sensitive data such as personal data and credit card information are processed and high security is at the forefront are met on the internet. The widespread use of the internet in all areas of life with the developments in technology has made web browsers, which are one of the most basic pieces of software in accessing websites, an indispensable element of the Internet. The security of communication between the user and the website is an important issue because a malicious attack can cause unpredictable results. Before connecting to the website, web browsers authenticate the website identity with SSL certificates, using the HTTPS protocol to establish a secure communication channel. The reliability of these Public Key Infrastructure (PKI) based certificates depends on the fact that they are issued by a Certificate Authority (CA), which is accepted as trusted by the client software, in accordance with certain criteria. The conditions that CAs must comply with in the issuance of certificates are determined by the Certificate Authority/Browser (CA/B) Forum voluntary organization, which consists of web browsers, CAs and other PKI components that play an important role in the security of the ecosystem. Criteria such as cryptographic algorithms and key lengths that can be used in certificates, or what the maximum lifetime of a certificate can be, are described in the Baseline Requirements (BR) document published by the CA/B Forum. For the security of SSL connections, it is extremely important that certificates are issued in accordance with these criteria. However, it is just as important how successfully the web browsers, which validates the certificate on behalf of users, perform this task. In this thesis, a comprehensive SSL certificate public key infrastructure (SSL Test Suite) has been established in order to effectively analyze the certificate validation behavior of web browsers. Test suite study, which consists of certificates that do not comply with the BR document, revealed the validation flaws of web browsers.