Android'de Özel Sertifikalar: Bilmeniz Gerekenler ve Yükleme Adımları
Kısaca: Sertifika eklemek için dosyayı (.crt/.cer CA için veya .p12/.pfx kişisel sertifika için) edinin, cihaza kaydedin ve Ayarlar → Güvenlik → Sertifika Yükleme bölümünden uygun türü seçerek içe aktarın. Dikkat: Android 7+ sürümlerinde uygulamalar varsayılan olarak kullanıcı tarafından eklenen CA'lara güvenmez; kurumsal dağıtımlar için MDM/iş profili kullanmak daha iyidir.
İçindekiler {{TOC_AUTOMATIC}}
Sertifika ne zaman gerekir ve türleri nelerdir?
Sertifika, sunucunun veya kullanıcının kimliğini doğrulayan dijital bir "pasaporttur". Temel türler şunlardır:
- CA (kök sertifika) — güvenilir bir sertifika yetkilisi ekler; özel proxy'ler/filtreler veya dahili servisler için gereklidir.
- Kişisel (istemci, PKCS#12 .p12/.pfx) — özel anahtar içerir ve kullanıcı kimlik doğrulaması için kullanılır (VPN, Wi‑Fi EAP, e-posta). Kullanım örnekleri: Kurumsal kimlik doğrulama (Wi‑Fi/EAP, VPN, CBA), kurumsal proxy'e güven duyma, servislerde istemci yetkilendirmesi.
Tanımadığınız bir CA yüklemek, ona HTTPS trafiğini şifresini çözme ve değiştirme yetkisi verir. Şüpheli sertifikaları yüklemeyin.
Nasıl yüklenir — adım adım (genel sıralama)
Menü öğeleri üreticilere ve Android sürümlerine göre farklılık gösterebilir, ancak genel algoritma şöyledir:
- Sertifika dosyasını edinin: CA için .crt/.cer, kişisel sertifika için .p12/.pfx. Eğer .p12 ise, yöneticiden parolayı alın.
- Dosyayı cihaz hafızasına kopyalayın veya güvenli bir portal/e-posta üzerinden açın.
- Ayarlar → Güvenlik / Parolalar ve güvenlik / Gizlilik bölümünü açın.
- "Sertifika Yükleme", "Şifreleme ve kimlik bilgileri" veya "Cihaz hafızasından yükle" seçeneğini bulun.
- Türü seçin: "CA / Sertifika Yetkilisi Sertifikası" veya "Kişisel Sertifika / PKCS#12".
- Dosyayı belirtin, (.p12 için) parolayı girin, anlaşılır bir isim verin.
- Yüklemeyi kontrol edin: Ayarlar → Güvenlik → Güvenilen Kimlik Bilgileri → "Kullanıcı" sekmesi — sertifikanın görünmesi gerekir.
- Bu bir istemci sertifikasıysa — VPN/e-posta/Wi‑Fi ayarlarında kimlik doğrulama için yüklenen sertifikayı seçin.
.p12 yüklendikten sonra kaynak dosyayı cihazdan silmek genellikle güvenlidir — sertifikanın kendisi korumalı depolama alanında saklanır.
Android sürümleri ve senaryolarına göre özellikler
- Android 7+: Uygulamalar varsayılan olarak kullanıcı tarafından eklenen CA'lara güvenmez. Bir uygulamanın kullanıcı CA'sını kullanması için geliştiricinin bunu network security config içinde açıkça izin vermesi gerekir. Yani, yüklenmiş bir CA bile tüm uygulamaların çalışmasını garanti etmez.
- Android 11+ ve üzeri: Kök sertifika deposuna erişim zorlaştırılmıştır; root veya MDM olmadan CA'yı sistem deposuna eklemek imkansızdır. Kurumsal görevler için MDM/Android Enterprise veya iş profili kullanılır.
- Kurumsal cihazlar (MDM, Knox vb.): Yönetici sertifikaları merkezi olarak dağıtır; kullanıcı yüklemeleri politikalarla engellenebilir.
- Yerel HTTPS proxy'leri/filtreleri: CA yüklemesi gerektirir; modern sürümlerde bu manuel olarak kullanıcı deposunda yapılır ve tüm uygulamalar böyle bir CA'ya güvenmeyebilir.
Ne zaman CA, ne zaman kişisel sertifika gerekir?
| Görev | Sertifika Türü | Açıklama |
|---|---|---|
| Kurumsal Wi‑Fi (EAP) | Kişisel (.p12) ve/veya CA | Kimlik doğrulama için sıklıkla istemci sertifikası gerekir |
| İstemci kimlik doğrulamalı VPN | Kişisel (.p12) | Özel anahtar .p12 içinde olmalıdır |
| Yerel proxy'e güvenmek | CA | Proxy trafiği şifresini çözebilecektir — gizlilik riski |
| Kurumsal servislere erişim (CBA) | MDM üzerinden dağıtım | Daha güvenilir ve güvenlik politikalarıyla uyumlu |
Sertifika nasıl silinir ve kontrol edilir?
- Kontrol: Ayarlar → Güvenlik → Güvenilen Kimlik Bilgileri → "Kullanıcı" sekmesi.
- Silme: Sertifikayı seçin ve silin. Kişisel sertifikayı silmek için PIN/ekran kilidi gerekebilir. Yönetilen cihazlarda silme işlemi politika tarafından engellenmiş olabilir.
Sık yapılan hatalar
- Yanlış tür yüklenmiş (kişisel .p12 yerine CA veya tam tersi) — uygulama kimlik doğrulaması yapamaz.
- Uygulama kullanıcı CA'sına güvenmiyor (Android 7+) — MDM kullanmak veya uygulama yapılandırmasını değiştirmek gerekir.
- Parolasız veya yanlış parolalı .p12 dosyası — yükleme başarısız olur.
- Root/MDM olmadan CA'yı sistem deposuna "enjekte" etmeye çalışmak — modern Android sürümlerinde işlem mevcut değildir.
- Yükledikten sonra .p12 dosyasını açıkta bırakmak — özel anahtarın ele geçirilme riski.
SSS
-
.p12 dosyasını yükledikten sonra silmek gerekir mi?
Evet — kaynak dosyayı silmek daha güvenlidir, sertifika cihazın korumalı depolama alanında saklanır. -
Android 11+ üzerinde CA yüklemek tüm trafiğe yardımcı olur mu?
Hayır — birçok uygulama kullanıcı CA'larına güvenmez; tam kapsam için MDM/sistem deposu gerekir (yönetici/root yetkisi gerektirir). -
Kurumsal ağ için sertifika nasıl alınır?
Genellikle kurumsal portal, MDM veya BT yöneticisi aracılığıyla verilir; kuruluşun talimatlarını takip edin. -
Sertifika yükledikten sonra siteler TLS hataları vermeye başladıysa ne yapılmalı?
Doğru sertifika türünün yüklenip yüklenmediğini, uygulamanın kullanıcı deposuna güvenip güvenmediğini kontrol edin ve yapılandırmayı kontrol etmek için yöneticiye başvurun.
Kısa hatırlatma: Amacı belirleyin (Wi‑Fi/VPN/proxy), doğru dosya ve parolayı edinin, Ayarlar → Güvenlik → Sertifika Yükleme yoluyla yükleyin; kurumsal çözümler için MDM/iş profilleri kullanın. İsterseniz telefon modelinizi ve Android sürümünüzü gönderin, cihazınız için kesin menü adımlarını hazırlayayım.