Bozuk Kimlik Doğrulama ve Güvenli Olmayan Serileştirme Açma

Broken authentication, bir uygulamanın kullanıcı kimliğini doğrulama ve oturumları yönetme biçimindeki zayıflıkları ifade eder. Kimlik doğrulama bozuk olduğunda attacker'lar Password'ları, anahtarları veya oturum belirteçlerini ele geçirerek başka kullanıcıların kimliğine bürünebilir. Bu OWASP İlk 10 kategorisi; zayıf kimlik bilgileri, yetersiz oturum yönetimi, eksik MFA ve güvenli olmayan kimlik bilgisi depolama gibi çok çeşitli açıkları kapsar.

Credential stuffing, önceki veri ihlallerinden elde edilen username/password çiftlerinden oluşan geniş listeleri kullanır ve Password tekrarından yararlanarak bunları başka sitelerde dener. Password spraying ise bunun tersini yapar: hesap kilitleme eşiklerine takılmamak için yaygın Password'lardan oluşan küçük bir kümeyi (ör. Password1!) çok sayıda hesapta dener. Her iki saldırı da zayıf Password politikaları ve MFA eksikliği nedeniyle başarılı olur.

Oturumlar, kimliği doğrulanmış kullanıcıları uygulama durumlarına bağlar. Weak session management açıkları şunları içerir: tahmin edilebilir oturum belirteci değerleri (attacker'ların tahmin edebileceği ardışık ID'ler), Never süresi dolan belirteçler, HTTPS yerine HTTP üzerinden iletilen belirteçler ve Logout sırasında belirteçlerin geçersiz kılınmaması. Geçerli bir oturum belirteci elde eden bir attacker, Password'u bilmeden kullanıcının kimliğine bürünebilir.

Session fixation, kurbanı attacker tarafından seçilen bir oturum ID'sini kullanmaya zorlar. Örneğin attacker, önceden ayarlanmış bir oturum çerezi içeren bir bağlantı gönderir; kurban kimliğini doğruladıktan sonra attacker hesaba erişmek için aynı oturum ID'sini kullanır. Session hijacking, mevcut bir oturum belirtecinin XSS, ağ dinleme (şifrelenmemiş bağlantılarda) veya çalınmış çerezler aracılığıyla ele geçirilmesidir. Çözüm: girişten sonra oturum ID'lerini yeniden oluşturun ve her yerde HTTPS kullanın.

Password'ları düz metin olarak veya zayıf özetleme (MD5, SHA-1) kullanarak depolamak kritik bir kimlik doğrulama hatasıdır. Bir veritabanı ihlal edildiğinde düz metin Password'lar ve zayıf özetler hemen kullanılabilir. Secure password storage, Password'lar için tasarlanmış uyarlanabilir bir özetleme algoritması gerektirir: rastgele, kullanıcıya özel bir salt ile bcrypt, Argon2 veya PBKDF2. Bu algoritmalar kasıtlı olarak yavaştır ve çevrimdışı kırmayı hesaplama açısından maliyetli hale getirir.

Serialization, bir nesnenin durumunu depolama veya iletim için bir biçime (JSON, XML, ikili) dönüştürür. Deserialization, nesneyi bu biçimden yeniden oluşturur. Insecure deserialization, bir uygulamanın attacker tarafından denetlenen verileri doğrulama yapmadan serileştirmeden çıkarması durumunda ortaya çıkar; bu, attacker'ların serileştirilmiş nesneleri değiştirerek uygulama mantığını yönlendirmesine, ayrıcalıkları yükseltmesine veya Server üzerinde rastgele kod çalıştırmasına olanak tanır.

Yaygın bir saldırı pattern'ı, çerezlerde veya API parametrelerinde aktarılan serileştirilmiş nesneleri içerir. Örneğin, güvenilmeyen veriler üzerinde ObjectInputStream.readObject() kullanan bir Java uygulaması, popüler kitaplıklardaki (Apache Commons Collections) gadget zincirleri aracılığıyla Remote Code Execution (RCE) tetikleyebilir. Attacker, Malicious bir serileştirilmiş yük hazırlar, bunu uygulamaya gönderir ve kod serileştirmeden çıkarma sırasında, çoğu zaman herhangi bir kimlik doğrulama denetimi çalışmadan önce yürütülür.

Güvenli olmayan serileştirmeden çıkarmaya karşı Defense yöntemleri şunları içerir: Java yerel serileştirmesi veya Python pickle gibi tehlikeli biçimlerle güvenilmeyen verileri asla serileştirmeden çıkarmamak. İkili serileştirme yerine yalnızca veri içeren biçimleri (JSON, XML) tercih edin. Serileştirmeden çıkarma gerekiyorsa bütünlük denetimleri uygulayın (serileştirilmiş nesneyi HMAC ile imzalamak), hangi sınıfların serileştirmeden çıkarılabileceğini kısıtlamak için izin listeleri kullanın ve serileştirmeden çıkarma kodunu yalıtılmış, düşük ayrıcalıklı ortamlarda çalıştırın.

Multi-Factor Authentication (MFA), bozuk kimlik doğrulamaya karşı tek başına en etkili denetimdir. Kimlik bilgileri kimlik avı, credential stuffing veya bir veritabanı ihlali yoluyla ele geçirilse bile ikinci faktöre sahip olmayan bir attacker kimliğini doğrulayamaz. Microsoft, MFA'nın otomatik hesap ele geçirme saldırılarının %99,9'undan fazlasını engellediğini bildirir. MFA, ayrıcalıklı hesaplar için zorunlu olmalı ve tüm kullanıcılar için teşvik edilmelidir.

Hesap kilitleme ilkeleri, tanımlanan sayıda başarısız giriş denemesinden sonra bir hesabı geçici olarak devre dışı bırakır ve kaba kuvvet saldırılarını yavaşlatır. Ancak kilitlemeler, meşru kullanıcıları hedef alan Denial of Service saldırılarını mümkün kılabilir; saldırganlar erişimi engellemek için kasıtlı olarak hesapların kilitlenmesini tetikler. Hız sınırlama (tekrarlanan başarısızlıklardan sonra üstel geri çekilme kullanarak yanıtları yavaşlatma) ve CAPTCHA doğrulamaları, daha düşük DoS riskiyle kaba kuvvet saldırılarını azaltır.

OWASP, Bozuk Authentication konusunu kritik bir risk olarak listeler; çünkü kimlik doğrulama açıkları hem yaygındır hem de etkileri büyüktür. Bozuk Authentication göstergeleri arasında şunlar bulunur: kimlik bilgisi doldurma gibi otomatik saldırılara izin verme, kaba kuvvet veya diğer otomatik saldırılara izin verme, varsayılan, zayıf ya da yaygın olarak bilinen Password değerlerine izin verme, zayıf kimlik bilgisi kurtarma süreçleri kullanma, düz metin veya zayıf şekilde özetlenmiş Password değerleri kullanma ve eksik ya da etkisiz çok faktörlü kimlik doğrulama.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: bozuk Authentication; zayıf oturumları, kimlik bilgisi doldurmayı ve güvensiz Password depolamayı kapsar, güvensiz serileştirme, kötü amaçlı serileştirilmiş Object değerleri aracılığıyla Uzaktan Kod Çalıştırmaya yol açabilir ve MFA, bcrypt Password özetleme, girişten sonra oturumun yeniden oluşturulması ve imzalı serileştirilmiş veriler temel savunmalardır. Sırada güvenli SDLC, SAST ve DAST araçlarını inceleyeceğiz.