Birleşik Kimlik: SAML, OAuth ve OpenID Connect

Modern kuruluşlarda çalışanların, her biri farklı kuruluşlar tarafından yönetilebilen düzinelerce uygulamaya — bulut uygulamalarına, SaaS araçlarına, iş ortağı portallarına ve iç sistemlere — erişmesi gerekir. Her biri için ayrı hesaplar oluşturmak ve yönetmek güvenli değildir (kimlik bilgilerinin çoğalmasına yol açar) ve verimsizdir. Federasyonlu kimlik, güvenilir ve yetkili bir kimlik kaynağı olan Identity Provider (IdP)'nin kullanıcıların kimliğini doğrulamasına ve doğrulanmış bu kimliği kuruluş sınırları arasındaki Service Providers (SPs) ile paylaşmasına olanak tanıyarak bu sorunu çözer. Kullanıcılar bir kez kimlik doğrulaması yapar ve kimlik bilgilerini yeniden girmeden birden çok sisteme erişir.

Single Sign-On (SSO), kullanıcıların bir kez kimlik doğrulaması yaparak bir oturum içinde yeniden kimlik doğrulaması yapmadan birden çok uygulamaya erişmesini sağlar. Kullanıcı, Identity Provider'a (kurumsal Active Directory, Okta, Azure AD) giriş yapar, bir oturum belirteci veya assertion alır ve ziyaret ettiği her Service Provider'a bu belirteci sunar. SSO, kullanıcıların yönetmesi gereken parola sayısını azaltarak (parolaların yeniden kullanılmasını azaltır), merkezi kimlik doğrulama politikalarının uygulanmasını sağlayarak ve bir hesap IdP düzeyinde devre dışı bırakıldığında tüm entegre uygulamalardaki erişimi hemen iptal etmeye olanak tanıyarak güvenliği artırır.

SAML (Security Assertion Markup Language) 2.0, Identity Provider'lar ile Service Provider'lar arasında kimlik doğrulama ve yetkilendirme verilerinin değiş tokuşu için kullanılan XML tabanlı açık standarttır. SAML akışı şöyledir: (1) kullanıcı bir Service Provider'a (ör. Salesforce) erişir, (2) SP, Identity Provider'a (ör. Okta) yönlendirir, (3) kullanıcı IdP'de kimlik doğrulaması yapar, (4) IdP, kullanıcının kimliğini ve özniteliklerini içeren imzalı bir XML SAML Assertion yayımlar, (5) assertion SP'ye geri gönderilir, (6) SP, IdP'nin ortak anahtarını kullanarak assertion'ın imzasını doğrular ve erişim izni verir. SAML, web uygulamalarında kurumsal SSO için yaygın olarak kullanılır.

Bir SAML federasyonuna üç taraf katılır. Principal, erişim arayan kullanıcı veya sistemdir ve kimlik doğrulama sürecini başlatır. Identity Provider (IdP), principal'ın kimliğini doğrulayan ve assertion'lar yayımlayan yetkili kimlik kaynağıdır; Microsoft Azure AD, Okta, Ping Identity ve ADFS buna örnektir. Service Provider (SP), assertion'ı kullanır ve buna dayanarak erişim izni verir; Salesforce, Google Workspace, AWS ve SAML özellikli tüm uygulamalar buna örnektir. SP ve IdP, birbirlerinin uç nokta URL'lerini ve imzalama sertifikalarını içeren meta verileri önceden değiş tokuş ederek güven ilişkisi kurar.

OAuth 2.0, bir üçüncü taraf uygulamanın kullanıcının kimlik bilgilerini açığa çıkarmadan kullanıcı adına kaynaklara erişmesine olanak tanıyan bir yetkilendirme çerçevesidir (kimlik doğrulama protokolü değildir). Klasik kullanım örneği şudur: 'Bu fotoğraf düzenleme uygulamasının Google Fotoğraflarınıza erişmesine izin verin.' OAuth 2.0 dört rol tanımlar: Resource Owner (kullanıcı), Client (üçüncü taraf uygulama), Authorization Server (belirteçleri yayımlar) ve Resource Server (korunan kaynağı barındırır). Kullanıcı Client'ı yetkilendirir; Client, kullanıcının gerçek parolasına hiçbir zaman ihtiyaç duymadan kaynak sunucusuna sunduğu bir erişim belirteci alır.

Authorization Code Flow, web uygulamaları için en güvenli OAuth 2.0 akışıdır. Akış şöyledir: (1) Client, istenen kapsamlarla kullanıcıyı Authorization Server'a yönlendirir; (2) User, Authorization Server'da kimlik doğrulaması yapar ve onay verir; (3) Authorization Server, kısa ömürlü bir authorization code ile geri yönlendirir; (4) Client, istemci kimlik bilgileriyle sunucudan sunucuya yapılan bir çağrı üzerinden kodu bir access token'a (ve isteğe bağlı olarak bir refresh token'a) dönüştürür; (5) Client, Resource Server'ı çağırmak için access token'ı kullanır. Kod değişimi sunucu tarafında gerçekleşir; böylece access token'ın tarayıcı geçmişinde veya günlüklerde açığa çıkması önlenir.

OpenID Connect (OIDC), OAuth 2.0 üzerine kurulmuş bir kimlik doğrulama katmanıdır. OAuth yalnızca yetkilendirme sağlar (access token'lar Client'ın neler yapabileceğini kanıtlar); OIDC ise kimlik doğrulaması ekler (bir ID token, kullanıcının kim olduğunu kanıtlar). OIDC, OAuth akışına bir openid kapsamı ekler ve access token'ın yanında imzalı bir JWT (JSON Web Token) ID Token döndürür. ID token, kullanıcıyı tanımlayan claims (ad, e-posta, sub [subject identifier]) içerir. OIDC, artık tüketiciye yönelik SSO için baskın protokoldür; 'Google/Apple/Microsoft ile oturum açın' düğmelerinin tümü OIDC kullanır.

JSON Web Tokens (JWT), taraflar arasındaki claims'leri temsil etmek için kullanılan, kısa ve URL güvenli bir biçimdir. Bir JWT, noktalarla ayrılmış, base64url ile kodlanmış üç bölümden oluşur: Header (algoritma ve belirteç türü), Payload (claims: iss, sub, aud, exp, iat ve özel claims) ve Signature (belirtecin bütünlüğünü doğrulayan kriptografik imza). JWT'ler kendi kendine yeterlidir; Resource Server, Authorization Server'a yeniden çağrı yapmadan bunları doğrulayabilir. Bu, performansı artırır ve durumsuz mimarileri mümkün kılar. Kritik güvenlik gereksinimi şudur: JWT Signature'ını her zaman doğrulayın ve exp (son kullanma) ile aud (hedef kitle) claims'lerini kontrol edin.

Her standardın ne zaman uygulanacağını anlamak Security+ sınavı için kritik öneme sahiptir. SAML 2.0: web uygulamaları için kurumsal SSO, tarayıcı tabanlı akışlar ve XML assertion'ları. Eski olmasına rağmen kuruluşlarda yaygın olarak kullanılmaktadır. OAuth 2.0: API yetkilendirmesi; üçüncü taraf uygulamalara kaynaklara sınırlı erişim verme. Kullanıcıların kimliğini doğrudan doğrulamaz. OIDC: OAuth 2.0 üzerine kurulmuş, tüketici ve modern kurumsal kimlik doğrulaması (SSO). Kullanıcıyı tanımlayan JWT ID token'ları döndürür. Uygulamada kuruluş ortamları, uygulama SSO'su için genellikle SAML'yi, API ve mobil kimlik doğrulaması için OIDC'yi kullanır. Modern bulut öncelikli ortamlar, JSON/JWT biçimi ve daha iyi mobil desteği nedeniyle SAML yerine OIDC'yi tercih eder.

Federasyonlu kimlik sistemleri belirli saldırı vektörlerini beraberinde getirir. Assertion replay saldırıları: saldırgan bir SAML assertion'ını ele geçirir ve erişim kazanmak için yeniden kullanır. Kısa assertion ömürleri ve tek kullanımlık assertion ID'leriyle azaltılır. XML signature wrapping (XSW): SAML'de saldırganlar bazen imzalı XML'i değiştirerek, özgün içerikteki imza geçerliliğini korurken claims'leri değiştirebilir. JWT algoritması karışıklığı: bir sunucu hem RS256 (asimetrik) hem de HS256 (simetrik) algoritmalarını kabul ederse saldırgan, sunucunun ortak anahtarını HS256 için HMAC gizli anahtarı olarak kullanarak JWT'ler üretebilir. Algoritma Header'ının beklenen algoritmayla eşleştiğini her zaman doğrulayın. Açık yönlendirme hizmetleri: belirtecin saldırganların denetimindeki sitelere yönlendirme yoluyla çalınmasını önlemek için OAuth yönlendirme URI'leri tam olarak eşleştirilmelidir.

Kurumsal kimlik federasyonu çoğu zaman sistemler arasındaki kullanıcı kimliği verilerinin eşitlenmesini gerektirir. SCIM (System for Cross-domain Identity Management), bir Identity Provider ile bağlı Service Provider'lar arasında kullanıcı sağlama ve sağlamayı kaldırma işlemlerini otomatikleştiren bir REST API standardıdır. Azure AD'ye (IdP) yeni bir çalışan eklendiğinde SCIM, Salesforce, Slack, GitHub ve SCIM uyumlu diğer uygulamalarda bu çalışanın hesabını otomatik olarak oluşturur. Çalışanın işine son verildiğinde SCIM, tüm hesapları aynı anda devre dışı bırakır ve sahipsiz hesapların kötüye kullanılabileceği süreyi ortadan kaldırır. SCIM, SSO protokollerinin ele almadığı yaşam döngüsü yönetimini gerçekleştirerek SSO protokollerini (SAML/OIDC) tamamlar.

Bu derste şunları öğrendiniz: SAML 2.0, kurumsal tarayıcı tabanlı SSO için XML assertion'larını kullanır; OAuth 2.0, API erişimi yetkilendirmesi için bir yetkilendirme çerçevesidir; OpenID Connect, OAuth üzerine kimlik doğrulaması (JWT ID token'ları) ekler; SCIM ise federasyonlu sistemler arasındaki kimlik yaşam döngüsü yönetimini otomatikleştirir. Bu, Kimlik Doğrulama ve Yetkilendirme kursunu tamamlar — sırada Ağ Güvenliği Temelleri konusunu inceleyeceğiz.