Ağda Şifreli Trafik ve SSL/TLS Çözümleme (Adli ve Teknik Bakış)

Günümüz ağlarının büyük bölümü şifreli trafik taşır. HTTPS, TLS, VPN ve benzeri protokoller sayesinde veri gizliliği sağlanır; ancak bu durum adli bilişim, ağ güvenliği ve olay müdahalesi açısından ek analiz tekniklerini zorunlu kılar. Bu yazıda şifreli trafiğin ne olduğu, SSL/TLS’in nasıl çalıştığı ve hangi koşullarda çözümlenebildiği net ve pratik biçimde anlatılmaktadır.

1. Şifreli Trafik Nedir?

Şifreli trafik; ağ üzerinden iletilen verinin kriptografik algoritmalarla okunamaz hale getirilmiş formudur. En yaygın örnekler:

1 - HTTPS (HTTP over TLS)
2 - TLS/SSL tabanlı e-posta (SMTPS, IMAPS)
3 - VPN tünelleri (OpenVPN, IPsec, WireGuard)

2. SSL/TLS Nasıl Çalışır?

SSL/TLS, istemci ile sunucu arasında güvenli bir kanal oluşturur. Süreç özetle:

1 - Client Hello – İstemci, desteklediği şifreleme algoritmalarını gönderir
2 - Server Hello – Sunucu sertifikasını ve seçilen algoritmayı iletir
3 - Anahtar Değişimi – Ortak oturum anahtarı üretilir
4 - Şifreli İletişim – Tüm veri artık simetrik anahtarla şifrelenir

1Client Hello
2Server Hello + Certificate
3Key Exchange
4Encrypted Application Data

3. Şifreli Trafikte Ne Görülebilir?

İçerik okunamaz olsa bile aşağıdaki bilgiler analiz edilebilir:

- Kaynak / hedef IP
- Port numaraları (443, 993 vb.)
- TLS versiyonu
- Sertifika bilgileri (CN, SAN)
- Paket boyutu ve zamanlama
- SNI (Server Name Indication – TLS 1.2)

4. SSL/TLS Çözümleme Yöntemleri
4.1 Sunucu Tarafı Anahtar ile Çözümleme

Sunucuya ait private key varsa:

- Trafik pasif olarak yakalanır
- Oturum anahtarları geri türetilir

1# Wireshark TLS key ekleme
2Edit > Preferences > Protocols > TLS
3RSA Keys List: server.key

4.2 SSL/TLS Interception (Man-in-the-Middle)

Kurumsal ağlarda yaygındır:

- Proxy (Zscaler, FortiGate, BlueCoat) araya girer
- İstemciye kurumsal kök sertifika yüklenir
- Trafik anlık olarak çözülüp tekrar şifrelenir

4.3 Session Key (Pre-Master / SSLKEYLOGFILE)

İstemci tarafında oturum anahtarları loglanır.

1# Linux / macOS
2export SSLKEYLOGFILE=/tmp/sslkeys.log
3
4# Tarayıcıyı bu ortam değişkeniyle çalıştır
5firefox

Wireshark’ta bu dosya eklenerek trafik tam içerik olarak çözülebilir.

4.4 TLS 1.3 ve Zorluklar

TLS 1.3 ile birlikte:

- Handshake daha kısa
- Sertifika bilgileri bile kısmen şifreli
- Pasif çözümleme neredeyse imkânsız

5. Adli Bilişim Senaryosu (Örnek)

Olay:
Bir çalışan, mesai sonrası şifreli bir bağlantı ile veri sızdırıyor.

Analiz:

443 portu → TLS

Gece saatlerinde anormal trafik hacmi

Paket boyutları düzenli ve büyük

Bilinmeyen bir SNI alanı

1ip.addr == 192.168.1.45 && tls

6. İpuçları ve En İyi Uygulamalar

- Şifreli trafikte her zaman meta veriyi kaydet
- PCAP dosyalarını ham ve değiştirilmeden sakla
- TLS versiyonunu özellikle not al (1.2 / 1.3)
- Kurumsal interception varsa sertifika zincirini incele
- Çözümleme yoksa davranışsal analiz yap

Şifreli trafik, içerik olarak gizli olsa da adli bilişim için karanlık değildir. SSL/TLS çözümleme her zaman mümkün olmayabilir; ancak sertifikalar, zamanlama, hedefler ve trafik hacmi üzerinden güçlü analizler yapılabilir. Modern TLS sürümleri, analiz yaklaşımını içerikten davranışa kaydırmıştır. Doğru yöntem ve yasal çerçeveyle şifreli trafik, hâlâ çok değerli bir delil kaynağıdır.

#AdliBilişim #kaynak