TLS 1.1, 2006 yılında yayımlanan ve iki sistem arasındaki iletişimin gizliliğini ve bütünlüğünü korumayı amaçlayan eski bir Transport Layer Security sürümüdür. TLS 1.2 2008, TLS 1.3 ise 2018 yılında standartlaştırıldı. Bugün yeni bir uygulama veya sunucu yapılandırırken TLS 1.1 kullanmak doğru bir tercih değil. Bunun nedeni yalnızca daha yeni bir sürümün çıkmış olması değil; protokolün güncel güvenlik gereksinimlerini karşılamaması ve modern istemci ve servislerin desteğini büyük ölçüde kaybetmesidir.
İlk yayımladığım yazıda tarayıcı üreticilerinin TLS 1.0 ve TLS 1.1 desteğini kaldırma takviminden söz etmiştim. Aradan geçen yıllarda bu takvim tamamlandı. Dolayısıyla artık konuyu “ne zaman bırakılacak?” yerine “ortamımızda nerede kullanılıyor ve nasıl güvenli geçiş yaparız?” açısından ele almak gerekiyor.
TLS 1.1 neden artık kullanılmamalı?
TLS 1.0 ve TLS 1.1, RFC 8996 ile resmen kullanımdan kaldırıldı. Bu sürümler modern kriptografi politikalarıyla uyumlu değil; özellikle eski anahtar değişimi ve mesaj doğrulama tasarımlarını kullanan yapılandırmalar, güncel TLS 1.2/1.3 seçeneklerine kıyasla daha yüksek risk taşıyor. Buradaki kritik ayrım şu: Her TLS 1.1 bağlantısı mutlaka kırılacak diye bir iddia doğru değil, fakat güvenli ve sürdürülebilir bir kurumsal mimaride artık tercih edilmemesi gereken bir protokol.
Tarayıcılar ve bulut servisleri de bu protokolü aşamalı olarak terk etti. Microsoft 365 hizmetlerinde TLS 1.0/1.1 desteği kaldırılmış durumda. Eski bir uygulamanın yalnızca TLS 1.1 üzerinden iletişim kurabilmesi, özellikle kimlik doğrulama, web servisi ve e-posta entegrasyonlarında bağlantı sorunlarına neden olabiliyor.
TLS 1.1 ile TLS 1.2 ve TLS 1.3 arasındaki temel farklar
| Konu | TLS 1.1 | TLS 1.2 | TLS 1.3 |
|---|---|---|---|
| Durum | Kullanımdan kaldırıldı | Yaygın ve desteklenen temel sürüm | Modern tercih |
| Standartlaşma | 2006 | 2008 | 2018 |
| Kriptografik tasarım | Eski algoritma ve protokol sınırları | Daha güçlü algoritmalar için destek | Eski ve zayıf mekanizmaları kaldıran sadeleştirilmiş tasarım |
| Yeni kurulum önerisi | Kullanmayın | Uyumluluk gerektiren sistemlerde kullanın | Desteklenen ortamlarda tercih edin |
TLS 1.3 her Windows sürümünde desteklenmez. Microsoft Schannel tarafında TLS 1.3 desteği Windows 11 ve Windows Server 2022 ile başladı. Bu nedenle “TLS 1.1’i kapatalım, bütün sistemler otomatik olarak TLS 1.3 kullanır” şeklinde bir yaklaşım doğru değil. Önce sunucu, istemci ve uygulama desteğini kontrol etmek gerekiyor.
Windows Server ve Windows 11 tarafında durum
Microsoft, Windows’un yeni sürümlerinde TLS 1.0 ve TLS 1.1’i varsayılan yapılandırmadan çıkarmaya yönelik değişiklikler yayımladı. Bununla birlikte bir sunucunun gerçek TLS davranışı işletim sistemi sürümüne, yüklü güncellemelere, Schannel yapılandırmasına ve uygulamanın kullandığı TLS yığınına bağlıdır. Bu nedenle yalnızca kayıt defterinde anahtar bulunup bulunmadığına bakarak kesin hüküm vermemek gerekir.
Örneğin Windows Server üzerinde IIS uygulaması Schannel kullanabilirken Java tabanlı bir ürün kendi kriptografi kütüphanesini kullanabilir. İşletim sistemindeki TLS 1.1 ayarının değiştirilmesi, bütün uygulamaların aynı anda aynı şekilde davranacağı anlamına gelmez.
TLS 1.1 kapatılmadan önce hangi sistemler kontrol edilmeli?
- Web servisleri ve API entegrasyonları: Uygulamanın yalnızca eski TLS sürümünü zorunlu kılıp kılmadığı.
- SQL Server ve diğer veri tabanları: İstemci sürücüleri, bağlantı sağlayıcıları ve sunucu yapılandırması.
- Yazıcı, tarayıcı ve ağ cihazları: SMTP, HTTPS yönetim arayüzleri ve eski firmware sürümleri.
- Yük dengeleyici ve ters proxy: İstemci bağlantısı ve arka uç bağlantısı için ayrı TLS politikaları.
- Üçüncü taraf ve eski kurumsal yazılımlar: Windows Schannel yerine özel TLS kütüphanesi kullanma ihtimali.
- İzleme ve loglama: Geçiş öncesi gerçekten hangi sürümlerin kullanıldığının ölçülmesi.
Geçiş sırasında yaşanabilecek sorunlar
En sık karşılaşılan durum, eski bir istemcinin yeni sunucuyla ortak TLS sürümü bulamaması. Bu durumda bağlantı sertifika kontrolüne bile geçmeden başarısız olabilir. Loglarda genel bir “secure channel failure” veya “handshake failure” kaydı görünmesi, tek başına sertifika hatası olduğu anlamına gelmez. Desteklenen protokoller, cipher suite kesişimi ve uygulama bağımlılıkları ayrı ayrı kontrol edilmelidir.
Özellikle üretim ortamında tüm sunucularda aynı anda TLS 1.1 kapatmak yerine önce envanter çıkarmak, pilot ortamda test etmek, uygulama sahipleriyle bakım penceresi planlamak ve geri dönüş senaryosunu hazırlamak gerekir. Eski sürümü yeniden açmak kalıcı çözüm olarak görülmemeli; mümkünse istemci veya uygulama güncellenmelidir.
Windows üzerinde TLS 1.0 ve TLS 1.1 nasıl kapatılır?
Schannel kayıt defteri ayarlarını ve Windows üzerinde uygulanacak komutları bu yazıda tekrar etmiyorum. Bunun için daha önce hazırladığım Microsoft Windows İşletim Sistemlerinde TLS 1.0 ve TLS 1.1 Nasıl Kapatılır? rehberini kullanabilirsiniz. Bu sayfadaki yaklaşım karar ve geçiş planına, diğer makale ise uygulamaya odaklanıyor.
Kısacası kurumda TLS 1.1 kullanımını sürdürmek için yeni bir gerekçe aramak yerine mevcut bağımlılıkları belirleyip TLS 1.2 veya desteklenen sistemlerde TLS 1.3’e geçişi planlamak gerekiyor. Bu dönüşümde asıl risk yalnızca eski protokol değil, hâlâ eski protokole bağımlı olduğu bilinmeyen uygulamalardır.
