Veri Şifreleme (Encryption): Bilginizi Anlaşılmaz Kılmak

Bir hırsız kasanızı çalabilir ama içindeki belgeleri okuyamıyorsa, çaldığı şey işe yaramaz bir metal kutudur. Şifreleme tam olarak bunu yapar: veriyi, doğru anahtara sahip olmayan hiç kimsenin okuyamayacağı bir forma çevirir. Diğer bütün güvenlik önlemleri aşılsa bile, iyi şifrelenmiş bir veri saldırgan için değersiz bir karakter yığınıdır. Bu yazıda şifrelemenin nasıl çalıştığını ve işletmenizde nerede kullanmanız gerektiğini anlatacağız.

Şifreleme karmaşık bir matematik gibi görünse de temel mantığı basittir: okunabilir veriyi (düz metin) bir algoritma ve anahtar kullanarak okunamaz veriye (şifreli metin) dönüştürürsünüz. Anahtar olmadan bu dönüşümü geri almak pratikte imkânsızdır. Zorluk algoritmayı anlamakta değil, anahtarları doğru yönetmektedir.

Simetrik ve Asimetrik Şifreleme

Şifrelemenin iki temel ailesi vardır ve ikisi farklı sorunları çözer.

Simetrik Şifreleme

Simetrik şifrelemede aynı anahtar hem şifrelemek hem de çözmek için kullanılır. Çok hızlıdır ve büyük veri kütlelerini şifrelemek için idealdir. En yaygın algoritma AES'tir (Advanced Encryption Standard). Disk şifreleme, veritabanı şifreleme ve dosya şifreleme çoğunlukla AES ile yapılır.

Simetrik şifrelemenin zorluğu anahtar paylaşımıdır: aynı anahtarı hem gönderen hem alan bilmek zorundadır. Bu anahtarı güvenli biçimde iletmek başlı başına bir sorundur ve işte burada asimetrik şifreleme devreye girer.

Asimetrik Şifreleme

Asimetrik şifrelemede iki farklı anahtar vardır: bir açık anahtar (public key) ve bir özel anahtar (private key). Açık anahtarla şifrelenen bir veri yalnızca özel anahtarla çözülebilir. Açık anahtarı herkese verebilirsiniz; önemli olan özel anahtarı gizli tutmaktır. RSA ve ECC bu ailenin en bilinen algoritmalarıdır.

Asimetrik şifreleme yavaştır ama anahtar paylaşımı sorununu çözer. Pratikte iki yöntem birlikte kullanılır: asimetrik şifrelemeyle güvenli bir simetrik anahtar paylaşılır, sonra asıl veri hızlı simetrik yöntemle şifrelenir. HTTPS bağlantıları tam olarak böyle çalışır.

Simetrik şifreleme hızlı ama anahtar paylaşımı zor; asimetrik şifreleme anahtar paylaşımını çözer ama yavaş. Modern sistemler ikisini birleştirerek her ikisinin de gücünden yararlanır.

Duran Veri ve Hareket Halindeki Veri

Şifrelemeyi iki bağlamda düşünmek gerekir ve çoğu işletme birini atlar.

• Hareket halindeki veri (data in transit): Ağ üzerinde bir yerden bir yere giden veri. Web sitenizle kullanıcı arasındaki trafik, sunucular arası iletişim. Bunu TLS/HTTPS ile korursunuz.
• Duran veri (data at rest): Diskte, veritabanında veya yedeklerde saklanan veri. Bunu disk şifreleme ve veritabanı şifrelemeyle korursunuz.

Bir e-ticaret sitesi HTTPS kullanabilir ama veritabanındaki kart ve kimlik bilgilerini düz metin saklıyorsa, sunucu ele geçirildiğinde tüm veri açığa çıkar. Gerçek güvenlik, verinin yolculuğunun her aşamasında şifreli olmasıdır.

HTTPS ve TLS: Web'in Şifreleme Katmanı

HTTPS, tarayıcı ile sunucu arasındaki iletişimi TLS protokolüyle şifreler. Adres çubuğundaki kilit simgesi, bağlantının şifreli olduğunu gösterir. HTTPS olmadan, kullanıcının girdiği parola veya kart bilgisi ağ üzerinde açıkça gezer ve aradaki herhangi bir aktör tarafından okunabilir.

Bugün HTTPS bir lüks değil, zorunluluktur. Tarayıcılar HTTPS kullanmayan siteleri "güvenli değil" olarak işaretler; arama motorları da HTTPS'i sıralama sinyali sayar. Neyse ki Let's Encrypt gibi ücretsiz sertifika sağlayıcıları sayesinde HTTPS kurmak artık hem ücretsiz hem kolaydır.

Sertifikalar ve Güven Zinciri

TLS sertifikaları, bir sitenin gerçekten iddia ettiği kişi olduğunu doğrular. Sertifikayı bir sertifika otoritesi (CA) imzalar ve tarayıcı bu imza zincirini kontrol eder. Sertifikanın süresi dolduğunda veya yanlış yapılandırıldığında tarayıcı uyarı verir; bu uyarılar kullanıcı güvenini anında zedeler. Sertifika yenilemesini otomatikleştirmek, bu tür kesintileri önler.

Parolaları Şifrelemek Değil, Hash'lemek

Burada önemli bir ayrım var: kullanıcı parolalarını şifrelemez, hash'lersiniz. Şifreleme geri döndürülebilir; hash ise tek yönlüdür. Parola veritabanına asla ne düz metin ne de çözülebilir şifreli olarak kaydedilmelidir. Bunun yerine bcrypt, scrypt veya Argon2 gibi algoritmalarla, her parolaya özel bir "salt" ekleyerek hash tutulur.

Böylece veritabanı çalınsa bile saldırgan parolaların kendisine ulaşamaz; yalnızca geri çevrilmesi pratikte imkânsız hash değerlerini görür. MD5 veya SHA-1 gibi eski, hızlı algoritmalar parola saklama için asla kullanılmamalıdır; bunlar günümüz donanımıyla hızla kırılabilir.

Anahtar Yönetimi: En Zayıf Halka

Şifreleme algoritmaları güçlüdür; sistemler genellikle anahtar yönetimi nedeniyle çöker. Anahtarı veriyle aynı yerde saklarsanız, kasayı açık bırakmışsınız demektir. Sağlıklı anahtar yönetimi şunları içerir:

1. Anahtarları veriden ayrı bir ortamda saklamak (örneğin özel bir anahtar yönetim servisi).
2. Anahtarları düzenli olarak yenilemek (rotation).
3. Anahtarlara erişimi sıkı biçimde sınırlamak ve loglamak.
4. Anahtarları kaynak koduna veya yapılandırma dosyalarına gömmemek; ortam değişkeni veya kasa (vault) kullanmak.

Dünyanın en güçlü şifrelemesi bile, anahtarı bir metin dosyasında saklandığında değersizdir. Şifrelemenin gerçek zorluğu matematik değil, anahtar disiplinidir.

İşletmede Nereden Başlamalı?

Şifrelemeyi bir gecede her yere getirmeye çalışmak yerine, riske göre önceliklendirin:

• Önce tüm web trafiğini HTTPS'e taşıyın.
• Veritabanındaki hassas alanları (kimlik, finans, sağlık) şifreleyin.
• Yedeklerinizi şifreli tutun; yedek de sızabilir.
• Dizüstü bilgisayarlar ve mobil cihazlarda disk şifrelemeyi zorunlu kılın.
• Parolaları modern hash algoritmalarıyla saklayın.

Sık Sorulan Sorular

Şifreleme performansı çok düşürür mü? Modern işlemciler AES için donanım hızlandırması içerir; çoğu uygulamada fark hissedilmez. Güvenlik kazancı, küçük performans maliyetinin çok üzerindedir.

Ücretsiz HTTPS sertifikası güvenli mi? Evet. Let's Encrypt sertifikaları, ücretli sertifikalarla aynı şifreleme gücünü sunar. Fark, ek doğrulama ve garanti hizmetlerindedir; teknik güvenlik aynıdır.

Verimi bulutta tutuyorum, sağlayıcı zaten şifreliyor mu? Çoğu bulut sağlayıcı depolamayı şifreler, ama anahtarı kimin kontrol ettiği önemlidir. Hassas veriler için kendi anahtarınızı yönetebileceğiniz seçenekleri tercih edin.

Şifreleme Kontrol Listesi

• Tüm sitem HTTPS üzerinden mi çalışıyor?
• Sertifikam otomatik yenileniyor mu?
• Veritabanındaki hassas alanlar şifreli mi?
• Yedeklerim şifreli mi?
• Parolaları bcrypt/Argon2 gibi algoritmalarla mı saklıyorum?
• Anahtarlarım veriden ayrı ve güvenli bir yerde mi?

Şifreleme, güvenliğin son savunma hattıdır; diğer her şey aşıldığında bile veriyi anlamsız kılar. Doğru kurulduğunda hem KVKK yükümlülüklerinizi karşılar hem de müşteri güvenini korur. İşletmenizin veri şifreleme mimarisini doğru kurgulamak için bizimle iletişime geçin.