Facebook, Twitter, Gmail ve banka siteleri gibi yerlere ulaşırken veri iletişimi SSL ile şifrelenerek sağlanıyor. Yine de araya girilip veri trafiği dinlenebilir mi?
Evet, dinlenebilir. SSL’de birtakım otorite noktaları vardır ve bu otorite noktalarına güvenerek zincir başlar. Dolayısıyla otorite noktalarından alınmış bir SSL sertifikasıyla dinleme yapılabilir, bu geçmişte yaşandı. Güvenlik üretici bir firma bütün SSL trafiğinin arasına girip dinledi ve bunun hiçbir şekilde fark edilmediği ortaya çıktı. Ve google.com’a gitmek isteyen birisi için “Buyur, Google.com’un sertifikası budur” deyip tüneli ikiye bölüp kullanıcı hiç fark etmeden aradaki trafik dinlenebiliyor, bunlar mümkün. SSL dediğiniz şeyin de baktığınızda çoğunun Amerikan menşeili firmalar tarafından sağlandığını düşünürsek o zaman çok da güvenli değil. “Evet, iletişim sırasında güvenli ama kime karşı güvenli? “SSL sizi kimlerden korur?” parantez içerisinde böyle sorular da sormak lazım. Sıradan bir dinlemeden korur. SSL, ağa mühendisin in sizin trafiğinizi dinlemesine karşı bir önlemdir ama “NSA, SSL trafiğini dinleyemez.” demek biraz iyimser bir yaklaşım olur.