1. GİRİŞ

Şifreleme (encryption) modern bilgi güvenliğinin temel taşlarından biridir. Veri gizliliğini, bütünlüğünü ve bazen de doğrulamayı sağlamak için kriptografik algoritmalar ve anahtar yönetimi altyapıları kullanılır. Bulut hizmetlerinin, mobil uygulamaların, API‑ekosistemlerinin ve düzenleyici gereksinimlerin yaygınlaşmasıyla birlikte veriyi koruma yükümlülüğü her zamankinden daha kritik hale geldi. Sadece depolanan verinin (data‑at‑rest) değil; iletim halindeki verinin (data‑in‑transit) ve işlem (compute) esnasındaki verinin korunması da mimari tasarımın parçası oldu.

Bu konu neden bugün konuşuluyor?

• Veri sızıntıları, tedarik zinciri saldırıları ve regülasyonlar (GDPR, PCI‑DSS, HIPAA) şifrelemenin önemini artırdı.
• Bulut sağlayıcılarının sunduğu KMS/HSM hizmetleri, anahtar yönetimini merkezileştirerek operasyonel modelleri değiştirdi.
• Confidential Computing ve TEEs gibi teknolojiler işlem esnasında veriyi koruma imkânı sunuyor; bu da şifreleme yaklaşımlarının evrimini tetikliyor.

Kimler için önemli?

• Güvenlik mimarları ve kripto mühendisleri
• Platform mühendisleri, SRE/DevOps ekipleri ve backend geliştiriciler
• Uyumluluk, risk yönetimi ve veri sahipleri

Hangi problemleri çözüyor?

• Yetkisiz erişime karşı veriyi koruma
• Verinin bütünlüğünü ve iletim güvenliğini sağlama
• Regülasyon gereksinimlerini karşılayarak denetim izlerini tutma

2. KAVRAMSAL TEMELLER

2.1 Kriptografinin temel kavramları

• Plaintext / Ciphertext: Şifrelenmemiş veri ve şifreli veri.
• Encryption / Decryption: Veriyi okunamaz hale getirme ve geri alma işlemleri.
• Key: Şifreleme ve çözme işlemlerinde kullanılan gizli bilgi.
• Symmetric cryptography: Aynı anahtar ile şifreleme ve çözme (AES gibi).
• Asymmetric cryptography: Public/private key çiftleri (RSA, EC) ile imzalama ve şifreleme.
• MAC / Authenticated encryption: Verinin bütünlüğünü ve doğruluğunu garantileyen mekanizmalar (HMAC, AEAD/GCM).
• Key management: Anahtar üretimi, saklama, dağıtım, rotasyon ve iptal süreçleri.

2.2 Mimari bileşenler

• KMS (Key Management Service) veya HSM (Hardware Security Module)
• DEK (Data Encryption Key) vs KEK (Key Encryption Key) ayrımı
• Encryption libraries / SDK'lar (libsodium, OpenSSL, platform SDK'ları)
• Tokenization ve format‑preserving encryption (FPE)
• Secrets management (Vault, Key Vault, AWS Secrets Manager)

2.3 Terminoloji

• Nonce / IV: Tek kullanımlık başlangıç vektörü; tekrar kullanım güvenlik açığı oluşturur.
• Deterministic encryption: Aynı plaintext için aynı ciphertext üreten şifreleme—arşivleme ve arama senaryolarında kullanılır fakat gizlilik azaltır.
• Probabilistic encryption: Rastgelelik kullanır; aynı plaintext farklı ciphertext verir.

3. NASIL ÇALIŞIR? — TEKNİK MİMARİ VE VERİ AKIŞI

3.1 Simetrik şifreleme

Simetrik algoritmalar (ör. AES‑GCM, AES‑CBC+HMAC) yüksek performans sağlar; veri‑at‑rest (disk, DB) ve veri‑in‑transit (tünelleme) için tercih edilir. AES‑GCM gibi AEAD (Authenticated Encryption with Associated Data) modları hem gizliliği hem de bütünlüğü garanti eder. Simetrik kullanımda anahtar yönetimi kritiktir: DEK'lerin doğrudan saklanması yerine KEK ile sarma (encrypt‑by‑KMS) ve kısa ömürlü anahtarlar önerilir.

3.2 Asimetrik şifreleme ve imzalama

RSA ve ECC (Elliptic Curve Cryptography) public/private key paradigmalarını kullanır. Asimetrik kriptografi, key exchange (ör. TLS handshake), dijital imza (RSASSA‑PKCS1, ECDSA) ve kimlik kanıtı için uygundur. Asimetrik şifreleme maliyetli olduğu için genelde simetrik DEK'leri güvende paylaşmak amacıyla hibrit protokoller (PKI ile DEK şifreleme) kullanılır.

3.3 Transport security (TLS) ve end‑to‑end encryption

TLS, iki uç arasında iletim güvenliği sağlar. Ancak TLS sadece hop‑to‑hop koruma sağlar; aradaki proxy/edge bileşenler plaintext görürse end‑to‑end gizlilik bozulur. Bu nedenle kritik senaryolarda uygulama seviyesinde şifreleme (client side encryption veya envelope encryption) ile ek katman önerilir.

3.4 Envelope encryption ve anahtar hiyerarşisi

Envelope encryption modelinde verinin kendisi DEK ile şifrelenir; DEK ise KEK (KMS anahtarı) ile şifrelenir ve güvenli şekilde saklanır. Bu yaklaşım veri boyutu ve performans için idealdir; aynı zamanda anahtar rotasyonu ve erişim kontrolünü kolaylaştırır.

3.5 Tokenization ve FPE

Tokenization, hassas veriyi (örn. kart numarası) rastgele veya indekslenmiş bir token ile değiştirir; orijinal veri güvenli vault içinde saklanır. FPE, veri formatını muhafaza eden şifreleme sağlar; legacy sistemlerde veri formatı değişmeden koruma gereksinimi olduğunda kullanılır.

3.6 Anahtar yönetimi yaşam döngüsü

1. Key generation: deterministik olmayan, güvenli rastgele kaynak ile üretim.
2. Key storage: HSM veya KMS; asla düz metin depolama.
3. Key usage: Erişim politika ve audit; least privilege.
4. Rotation: periyodik ve olağanüstü durum rotasyonları.
5. Revocation & destruction: geri alınamaz silme ve audit kayıtları.

3.7 KMS ve HSM pratikleri

KMS (ör. AWS KMS, Azure Key Vault, Google Cloud KMS) anahtar erişim kontrolleri, audit ve CEK sarmalama sağlar. HSM'ler (yazılım yerine donanım tabanlı güvenlik modülleri) yüksek güvenlik gerektiren master key'leri tutar. HSM kullanımı regülasyonlarda çoğu zaman istenmektedir (PCI DSS, FIPS 140‑2/3 uyumlu HSM seçenekleri).

4. GERÇEK DÜNYA KULLANIMLARI

4.1 Örnek: Finans / Ödeme Sistemleri (Stripe, PayPal)

Ödeme ekosisteminde PCI gereklilikleri tokenization, HSM, idempotency, audit ve DEK/KEK ayrımı gibi güçlü şifreleme pratiklerini zorunlu kılar. Ödeme sağlayıcıları genelde kart verisini token'lar ile değiştirir; orijinal veriyi HSM destekli vault'larda saklar ve anahtar yönetimini sıkı politikalarla yürütür.

4.2 Örnek: Bulut sağlayıcıları (AWS, Azure, GCP)

Bulut sağlayıcıları KMS hizmetleri ve BYOK/CMK (Bring Your Own Key / Customer Managed Key) özellikleri sunar. Organizasyonlar hem provider‑managed hem de customer‑managed anahtar modellerini değerlendirebilir; regülasyon ve kontrol gereksinimlerine göre HSM tabanlı Dedicated Key seçenekleri tercih edilir.

4.3 Örnek: Sağlık ve regüle sektör (HIPAA)

Hasta verilerinin korunması için hem at‑rest hem in‑transit şifreleme, güçlü audit ve key access control gereklidir. Data masking ve fine‑grained encryption (field level) klinik uygulamalarda yaygın kullanılır.

4.4 Örnek: Confidential Computing ve açık veri işlemi

Confidential computing (TEEs) işlem esnasında veriyi korur; örneğin veriyi cloud üzerinde işlemek fakat sağlayıcının veriyi görememesini sağlamak isteyen senaryolarda TEE kullanımı artıyor. Bu teknoloji beraberinde farklı anahtar yönetimi ve attestation süreçleri getirir.

5. AVANTAJLAR VE SINIRLAMALAR

Avantajlar

• Gizlilik ve bütünlük garanti edilir; veri ihlali durumunda sızıntı etkisi azalır.
• Regülasyonlara uygunluk ve denetim (audit) sağlayacak izler üretir.
• Envelope encryption ve KMS kullanımı operasyonel esneklik sunar (rotation, revoke).

Sınırlamalar

• Performans maliyeti: yoğun I/O veya düşük gecikme gerektiren sistemlerde şifreleme overhead'i dikkate alınmalı.
• Anahtar yönetimi karmaşıklığı: yanlış yönetilen anahtarlar, veri erişimini kilitleyebilir veya güvenlik açığı yaratabilir.
• Deterministic encryption veya tokenization stratejilerinde gizlilik/uygulama trade‑off'ları vardır.

6. ALTERNATİFLER VE KARŞILAŞTIRMA

7. EN İYİ PRATİKLER

Production kullanımı

• Envelope encryption kullanın: DEK'leri KMS ile sarmalayın, DEK'leri doğrudan saklamayın.
• AEAD (örn. AES‑GCM, ChaCha20‑Poly1305) modlarını tercih edin; ayrı HMAC yerine authenticated encryption sağlayın.
• HSM ve FIPS 140‑2/3 uyumlu çözümler gereksinimleri varsa değerlendirin.
• Key rotation, access policies ve audit logging'i otomatikleştirin.

Performans optimizasyonu

• CPU bound şifreleme için donanım hızlandırma (AES‑NI) ve uygun kütüphaneler kullanın.
• Large payload'larda streaming encryption (chunked) ile bellek ve gecikme kontrolü sağlayın.
• Kritik hot‑path'lerde local DEK cache kullanın ancak kısa TTL ve revocation strategy planlayın.

Güvenlik

• Non‑replayable nonce/IV kullanımı: IV/nonce tekrarından kaçının.
• Key material asla kod veya kaynak kontrolünde tutulmamalı; secrets manager kullanın.
• Deterministic encryption gerekiyorsa riskleri değerlendirin ve ek kontroller koyun (tokenization vs search‑able encryption tradeoffs).

Operasyonel pratikler

• Key compromise senaryoları için incident playbook hazırlayın: rotate, reencrypt ve notify süreçleri.
• Key lifecycle yönetimini politika ile bağlayın: TTL, rotation window ve retirement prosedürleri.
• Audit ve access review: kim hangi anahtara erişti, hangi operasyon gerçekleştirildi kaydını tutun.

8. SIK YAPILAN HATALAR

• Anahtarları uygulama kodunda veya açık konfigürasyonda saklamak.
• Statik nonce/IV kullanmak veya IV tekrarına izin vermek (güvenlik kırılganlığı yaratır).
• Deterministic encryption kullanırken gizliliği göz ardı etmek—aynı verinin tekrar ortaya çıkması kolaylaşır.
• KMS/HSM olmayan ortamda manuel anahtar yönetimi yapmak—insan hatalarına açık.
• Yedekleme ve arşiv anahtarlarını göz ardı etmek—beklenmeyen key loss durumlarında veri erişimi kaybı yaşanır.

9. GELECEK TRENDLER

1. Post‑quantum cryptography (PQC): Kuantum bilgisayarların geleceğine hazırlık için PQC algoritmalarının entegrasyonu ve hybrid‑crypto yaklaşımları yaygınlaşacak.
2. Confidential Computing’un olgunlaşması: TEEs ve attestation mekanizmaları veri işleme modellerini değiştirecek.
3. Privacy‑enhancing technologies (PETs): Secure multi‑party computation (MPC), homomorphic encryption ve differential privacy servislerde kullanım bulacak.
4. AI ve otomatik key governance: Anahtar kullanım desenlerini analiz eden ve rotasyon/izleme kararları öneren ML tabanlı çözümler yaygınlaşacak.

EK BÖLÜMLER

Sık Sorulan Sorular (FAQ)

1. 1. Simetrik mi asimetrik mi kullanmalıyım?

   Genelde hibrit model kullanılır: veri şifrelemede simetrik DEK (AES), anahtar paylaşımı ve imzalamada asimetrik algoritmalar (RSA/ECDSA) tercih edilir. Performans ve kullanım senaryosuna göre karar verin.

2. 2. KMS mi yoksa kendi HSM'imi mi kullanmalıyım?

   Regülasyon, kontrol gereksinimi ve bütçe belirleyicidir. Cloud provider KMS hızlı entegrasyon sağlar; yüksek güvenlik/regülasyon gereken durumlarda dedicated HSM veya BYOK modelleri tercih edilir.

3. 3. Anahtar rotasyonu ne sıklıkla yapılmalı?

   Risk, anahtarın kullanım sıklığı ve uyumluluk gereksinimlerine göre değişir. Önemli olan otomasyon, kısa rotation window'ları ve acil revocation süreçlerinin varlığıdır.

4. 4. AES‑GCM yerine başka bir şey tercih edilmeli mi?

   AES‑GCM ve ChaCha20‑Poly1305 modern AEAD seçenekleridir. Donanım hızlandırma imkanı varsa AES‑GCM tercih edilir; mobil/embedded ortamda ChaCha20‑Poly1305 avantajlı olabilir.

5. 5. Tokenization ile encryption arasındaki fark nedir?

   Tokenization verinin yerini güvenli bir token ile değiştirir; orijinal veri ayrı bir vault'ta saklanır. Encryption ise veriyi kriptografik olarak dönüştürür. İkisi farklı kullanım senaryoları için uygundur.

6. 6. Deterministic encryption güvenli midir?

   Deterministic encryption belirli arama ve indeksleme senaryoları için gerekli olabilir, ancak aynı plaintext'in aynı ciphertext'i üretmesi gizliliği düşürür; riskleri anlayarak kullanın.

7. 7. Confidential computing bugünün standardı mı?

   Henüz olgunlaşma aşamasında ama hızla yükseliyor. Kritik veri işleme senaryolarında (veri paylaşımı gereken analizler gibi) kullanımı artacak.

8. 8. Kuantum tehdidine şimdi mi hazırlanmaya başlamalıyım?

   Eğer uzun süreli gizlilik (long‑term confidentiality) gereken verileriniz varsa bugün hybrid PQC yaklaşımlarını değerlendirin. Genel olarak roadmap planlamak akıllıca olacaktır.

Anahtar Kavramlar

DEK

Data Encryption Key—veriyi doğrudan şifrelemek için kullanılan simetrik anahtar.

KEK

Key Encryption Key—DEK'leri korumak için kullanılan üst seviye anahtar (genellikle KMS tarafından yönetilir).

AEAD

Authenticated Encryption with Associated Data—gizlilik ve bütünlüğü bir arada sunan şifreleme modu.

HSM

Hardware Security Module—anahtarların güvenli donanımda saklandığı cihaz.

SBOM

Software Bill of Materials—yazılım bileşenlerinin envanteri; supply chain güvenliği için önemlidir.

Öğrenme Yol Haritası

1. 0–1 ay: Kriptografi temelleri (symmetric/asymmetric, hashing, MAC) ve TLS çalışma mantığını öğrenin.
2. 1–3 ay: AES, RSA/ECC pratikleri, AEAD modları ve nonce/IV gereksinimleri ile uygulama örnekleri geliştirin.
3. 3–6 ay: KMS/HSM, envelope encryption, tokenization ve secure key lifecycle implementasyonları üzerinde çalışın.
4. 6–12 ay: Confidential computing, homomorphic encryption, MPC ve post‑quantum cryptography araştırmaları ile ileri seviye uygulamalar deneyin.