DV, OV ve EV TLS Sertifikaları Arasındaki Farklar
Herkese açık web sitelerinde kullanılan TLS sertifikaları, sertifika alanlarını ve biçimini tanımlayan X.509 standardına dayanır. Bu sertifikalarda DV (Domain Validation), OV (Organization Validation) ve EV (Extended Validation) farklı kimlik doğrulama sınıflarıdır.
DV, sertifikaya yazılacak alan adı veya IP adresi üzerindeki kontrolü doğrular. OV buna kuruluş kimliği ve adres doğrulamasını ekler; EV ise kuruluşun yasal, fiziksel ve operasyonel varlığı ile sertifika talebini yapan ve onaylayan kişilerin yetkisini daha kapsamlı kurallarla inceler.
SSL, TLS’den önce kullanılan protokoldür. “SSL sertifikası” adı yaygınlığını korusa da güncel bağlantılar TLS üzerinden kurulur. DV, OV ve EV farklı TLS protokolleri değildir; ayrım, CA’nın (Certification Authority) başvuru sahibi hakkında doğruladığı kimlik bilgisinin kapsamıdır. Aynı teknik yapılandırmada doğrulama sınıfı şifreleme gücünü değiştirmez.
Doğrulama Türlerinin Karşılaştırması
Aşağıdaki tablo üç doğrulama türünü aynı konular üzerinden karşılaştırır. Süre ve belge sayısı sertifika yetkilisinin sürecine, başvuru sahibinin kayıtlarının tutarlılığına ve gerekli doğrulamaların ne kadar hızlı tamamlandığına bağlıdır.
| Karşılaştırma Konusu | DV | OV | EV |
|---|---|---|---|
| Doğrulanan temel bilgi | Alan adı veya IP adresi kontrolü | Alan adı veya IP adresi kontrolü ile kuruluş kimliği ve adresi | Alan adı kontrolü ile genişletilmiş kuruluş kimliği, varlık ve yetki kontrolleri |
| Kuruluş adı doğrulaması | Yapılmaz | Yapılır | Daha ayrıntılı kurallar ve kayıt kontrolleriyle yapılır |
| Başvuru süreci | Çoğunlukla teknik alan adı doğrulamasına dayanır | Kuruluş kayıtları ve temsilci doğrulaması eklenir | Yasal, fiziksel ve operasyonel varlık ile iletişim ve onay yetkisi incelenir |
| Sertifikadaki kimlik alanları | Kuruluş adı içermez; alan adları veya IP adresleri SAN (Subject Alternative Name) alanında bulunur | Kuruluş adı, ülke ve konum bilgileri bulunur | Yasal ad, kuruluş türü, kayıt bilgisi, kayıt yargı alanı ve iş adresi gibi ek alanlar bulunur |
| Şifreleme gücü | Sunucu ve TLS yapılandırmasına bağlıdır | Sunucu ve TLS yapılandırmasına bağlıdır | Sunucu ve TLS yapılandırmasına bağlıdır |
| Uygun bağlam | Alan adı kontrolünün yeterli olduğu siteler ve otomatik sertifika yönetimi | Sertifikada doğrulanmış kuruluş kimliğine ihtiyaç duyan işletmeler | Daha kapsamlı ve standart bir kuruluş doğrulamasının açıkça gerekli olduğu durumlar |
Doğrulanan Bilgi ve Başvuru Süreci
Her üç türde de sertifika yetkilisi sertifikaya yazılacak alan adları için yetki ya da kontrol doğrulaması yapar. Profilin ve hizmetin izin verdiği IP adresi başvurularında da ilgili IP adresi üzerinde kontrol veya kullanım yetkisi doğrulanır. OV ve EV süreçlerinde bu teknik doğrulamaya kimlik incelemesi eklenir; başvuru sahibinin bir alan adını kontrol etmesi kuruluş bilgilerinin kendiliğinden doğrulanmış olduğu anlamına gelmez.
DV Sertifikasında Alan Adı Kontrolü
DV başvurusunda temel soru başvuru sahibinin sertifikaya eklenecek alan adını kontrol edip etmediğidir. Sertifika yetkilisi bunu izin verilen yöntemlerden biriyle doğrular; başvuru sahibi DNS kaydına belirli bir değer ekleyebilir veya yetkili bir web konumunda istenen doğrulama verisini yayımlayabilir.
Sertifika başvurusu, doğrulaması ve yenilemesini otomatikleştiren ACME (Automated Certificate Management Environment) protokolü bu teknik adımları kolaylaştırabilir. OV ve EV için gereken ek kuruluş kimliği kontrollerinin ne ölçüde otomatikleştirilebildiği sertifika yetkilisine ve hizmete göre değişir.
Bu işlem siteyi işleten kişi ya da işletmenin ticari unvanını, fiziksel adresini veya hukuki durumunu doğrulamaz. Bu nedenle DV sertifikasıyla doğrulanan bir TLS bağlantısında sunucu, alan adıyla ilişkilendirilmiş açık anahtara karşılık gelen özel anahtarı kontrol ettiğini kanıtlar. Bu, site işletmecisinin güvenilirliğini tek başına kanıtlamaz.
OV Sertifikasında Kuruluş Kimliği
OV başvurusunda alan adı veya IP adresi kontrolünün yanında kuruluşun kimliği ve adresi doğrulanır. Sertifika yetkilisi devlet kayıtları, düzenli güncellenen güvenilir veri kaynakları, doğrulanabilir belgeler, uygun bir beyan yazısı veya gerektiğinde yerinde inceleme gibi kabul edilen kaynaklardan yararlanabilir.
Kuruluş adı ve adresi sertifikaya ekleneceği için kayıtların başvurudaki bilgilerle tutarlı olması gerekir. Ticari ad kullanılıyorsa bu ad üzerindeki hakkın da doğrulanması gerekir. OV süreci DV’ye göre daha fazla yazışma veya belge gerektirebilir; bunun nedeni sertifikadaki kimlik alanlarının denetlenmesidir.
EV Sertifikasında Ayrıntılı Kuruluş İncelemesi
EV doğrulaması kuruluşun yasal varlığını ve resmi adını doğrulamakla sınırlı değildir. Sertifika yetkilisi kuruluşun iş yaptığı fiziksel adresi, operasyonel varlığını, güvenilir iletişim yöntemini, alan adı kontrolünü ve sertifika talebini yapan veya onaylayan kişilerin yetkisini belirlenmiş kurallarla inceler.
EV sertifikası bu nedenle daha ayrıntılı ve standartlaştırılmış bir kuruluş kimliği doğrulaması sunar. Ancak bu doğrulama bir güvenlik denetimi, mali yeterlilik raporu ya da sitenin tüm işlemlerinin güvenilir olduğuna dair garanti değildir. Sertifika doğrulanan kuruluş bilgilerini sertifikada yer alan alan adlarıyla ilişkilendirir.
Sertifika Alanlarında Hangi Bilgiler Yer Alır?
DV, OV ve EV sertifikaları aynı X.509 teknik yapısını kullanır. Bir TLS sertifikasında sertifikayı düzenleyen yetkilinin adı, seri numarası, geçerlilik aralığı, açık anahtar, imza algoritması, kullanım amaçları ve sertifika zincirini kurmaya yarayan ortak bilgiler bulunur. Kimlik doğrulama türü açısından en belirgin farklar Subject (sertifika sahibi bilgileri) ve Certificate Policies (sertifika ilkeleri) bölümlerinde görülür. SAN ise kimlik incelemesinin düzeyinden bağımsız olarak sertifikanın kapsadığı adları belirtir.
- SAN: Sertifikanın geçerli olduğu alan adları ve IP adresleri bu alanda yer alır. Modern TLS bağlantısında sunucunun alan adı veya IP adresi kimliği bu alan üzerinden doğrulanır.
- DV Subject alanı: Doğrulanmış kuruluş adı taşımaz. Hizmet kimliği CN (Common Name) alanından değil, SAN alanındaki alan adı veya IP adresi bilgisinden doğrulanır.
- OV Subject alanı: Doğrulanmış kuruluş adı zorunludur. Ülke bilgisi ile eyalet, il veya yerleşim bilgisinden en az biri bulunur; ek adres alanları kullanılırsa bunların da doğrulanması gerekir.
- EV Subject alanı: Yasal kuruluş adı, kuruluş kategorisi, kayıt numarası veya kurala uygun alternatif bilgi, kayıt yargı alanı ve doğrulanmış iş adresi gibi daha ayrıntılı alanlar içerir.
- Certificate Policies: Sertifikanın DV, OV veya EV profiline göre düzenlendiğini belirten politika tanımlayıcıları bulunur. Teknik inceleme yapan istemciler ve araçlar bu alandan yararlanabilir.
Sertifikadaki bir alanın mevcut olması tarayıcının onu adres çubuğunda sürekli göstereceği anlamına gelmez. Kimlik ayrıntılarına çoğu zaman bağlantı bilgileri veya sertifika görüntüleyicisi üzerinden ulaşılır.
Şifreleme Gücü ile Kimlik Doğrulaması Aynı Şey Değildir
TLS bağlantısındaki koruma kullanılan TLS sürümü, anahtar türü ve boyutu, sunucunun etkinleştirdiği şifre takımları, istemci desteği ve özel anahtarın korunması gibi teknik unsurlara bağlıdır. DV, OV veya EV etiketi bu unsurları otomatik olarak değiştirmez.
Doğru yapılandırılmış bir DV sertifikası aynı sunucu koşullarında OV veya EV sertifikasıyla aynı modern TLS protokolünü ve şifreleme seçeneklerini kullanabilir. Tersine, EV sertifikası bulunan bir sunucuda eski protokoller, eksik ara sertifikalar veya yanlış ana bilgisayar adı yapılandırması varsa bağlantı hataları ve güvenlik uyarıları yine ortaya çıkabilir.
Doğrulama türü kimlik bilgisinin kapsamını, TLS yapılandırması ise bağlantının teknik güvenliğini belirler. Sertifika seçiminde bu iki konuyu ayrı ele almak gerekir.
Geçerli Sertifika Sitenin Güvenilirliğini Kanıtlar mı?
Bir sertifikanın istemcide güvenilir kabul edilmesi, sertifika zincirinin o istemcinin güven deposundaki bir köke bağlanabildiğini ve istemci politikasınca kabul edildiğini gösterir. Bu durum sitenin içeriğinin zararsız, işletmenin mali açıdan güvenilir veya yapılan işlemin risksiz olduğunu kanıtlamaz. Kötü niyetli biri de kontrol ettiği bir alan adı için DV alabilir; kullanıcı yalnız kilit simgesine ya da geçerli sertifikaya dayanarak karar vermemelidir.
Sertifika Şeffaflığıyla Beklenmeyen Sertifikaları İzleme
CT (Certificate Transparency), TLS sertifikalarının herkese açık, denetlenebilir günlüklere kaydedilmesini sağlayan sistemdir. Alan adı sahibi beklenmeyen bir sertifikayı bu kayıtlar üzerinden fark edebilir. Ancak CT kaydı kuruluşun ticari güvenilirliğini doğrulamaz ve sertifikanın DV, OV ya da EV olmasından doğan kimlik kapsamını genişletmez.
Tarayıcılarda OV ve EV Bilgileri Nerede Görülür?
EV kuruluş adının adres çubuğunda ayrı ve kalıcı bir etiket olarak gösterileceği varsayılmamalıdır. Tarayıcılar güvenlik göstergelerini değiştirebilir; OV veya EV bilgisinin görünümü ürüne, sürüme ve kurumsal istemci politikasına göre farklılaşabilir.
OV ve EV kimlik alanları sertifikanın içinde bulunmaya devam eder. Gerektiğinde bağlantı bilgileri, sertifika görüntüleyicisi veya kurumsal denetim aracı üzerinden Subject ve Certificate Policies alanları incelenmelidir. Tarayıcı arayüzündeki görünürlük, sertifika yetkilisinin gerçekleştirdiği doğrulamanın kapsamını değiştirmez.
Doğrulama Türü ile Alan Adı Kapsamı Arasındaki Fark Nedir?
DV, OV ve EV kimlik doğrulama sınıflarıdır. Tek adlı, çok adlı ve wildcard (joker karakterli) sertifikalar ise bir sertifikanın hangi alan adlarını kapsadığını anlatır. Kuruluş kimliğinin doğrulanmış olması tek başına ad eşleşmesi için yeterli değildir; bağlanılan adın SAN alanındaki bir kayıtla eşleşmesi gerekir.
Tek adlı sertifika belirli bir adı, çok adlı sertifika birden fazla SAN kaydını, wildcard sertifika ise kuralına uygun alt alan adlarını kapsar. Çok adlı sertifikalar üç doğrulama sınıfında da sunulabilir. Sıradan web alan adları için wildcard kapsamı DV veya OV ile mümkündür; EV için buna izin verilmez. Tor ağındaki hizmetlerin kullandığı .onion adlarına ilişkin dar kapsamlı istisna, genel web alan adları için wildcard EV alınabileceği anlamına gelmez.
IP adresi desteği de seçilen sertifika profilinden ve sertifika yetkilisinin hizmet koşullarından ayrıca doğrulanmalıdır. Her durumda başvurulan adların kontrolü doğrulanmalı, kapsam gereksiz adlar eklenmeden tasarlanmalı ve aynı özel anahtarı kullanan hizmetlerden birinin ele geçirilmesinin diğerlerini de etkileyebileceği hesaba katılmalıdır.
Hangi TLS Sertifikası Hangi Duruma Uygundur?
Tek bir sertifika türü her site için zorunlu veya en doğru seçenek değildir. Doğru seçim; sertifikada hangi kimlik bilgilerinin bulunması gerektiğine, başvuru sürecinin nasıl yönetileceğine ve kullanıcıların ya da iş ortaklarının bu bilgiyi nasıl doğrulayacağına bağlıdır.
DV: Alan adı kontrolünün doğrulanması yeterliyse ve kuruluş adının sertifikada bulunmasına yönelik bir gereksinim yoksa DV uygun olabilir. Kişisel siteler, içerik siteleri, yazılımların birbiriyle iletişim kurmasını sağlayan API’lerin uç noktaları ve otomatik sertifika yenilemesinin önemli olduğu çok sayıda hizmet bu kapsama girebilir. Bu tercih sunucu güvenliği ve uygulama güvenliği kontrollerini ortadan kaldırmaz.
OV: Müşterilerin, iş ortaklarının veya kurumsal denetim süreçlerinin sertifika içinden doğrulanmış kuruluş adını görebilmesi gerekiyorsa OV değerlendirilebilir. OV kuruluş kimliği bilgisini sertifikaya bağlar ve EV’nin daha geniş incelemesini gerektirmez.
EV: Kuruluşun yasal ve operasyonel varlığının, iş adresinin ve başvuru yetkisinin EV kurallarına göre doğrulanması açık bir iş gereksinimiyse EV tercih edilebilir. Bu gereksinim bir sözleşmede veya kurum politikasında açıkça tanımlanabilir; yalnız daha üst düzey bir etiket olduğu varsayımı seçim gerekçesi olmamalıdır.
Seçilen tür ne olursa olsun başvuru ve yenileme için gerekli belgeleri, yetkili kişileri ve teknik doğrulama adımlarını kimin yöneteceği belirlenmelidir. Özellikle OV ve EV başvurularında güncel kuruluş kayıtlarına erişimin sağlanması, belge eksikliği nedeniyle yenilemenin gecikmesini önler.
Kurulumdan Sonra Sertifika ve Zincir Kontrolü
Kurulumdan sonra alan adı eşleşmesini, geçerlilik tarihlerini, sertifika zincirini ve sunucunun sunduğu sertifikayı birlikte kontrol etmek gerekir. SSL Sertifika ve Zincir Kontrolü aracı yayımlanan sertifikanın alanlarını ve zincir durumunu gösterir; araç başvuru sırasında yapılan kuruluş doğrulamasını veya sertifika sahibinin ticari güvenilirliğini yeniden doğrulamaz.
