Kimlik Doğrulama, Yetkilendirme ve Uygulama Güvenliği

Bir kullanıcı, servis veya cihazı sistem içinde benzersiz olarak temsil eden kimlik.

Bir kullanıcının iddia ettiği kişi olduğunu doğrulama işlemi.

Doğrulanmış kimliğin hangi kaynak ve işlemlere erişebileceğini belirleme.

Kimliği kanıtlamak için kullanılan parola, token, sertifika veya anahtar.

Kullanıcı hesabını tanımlayan giriş adı.

Kullanıcı hesabına e-posta adresiyle giriş yöntemi.

Kullanıcının bildiği gizli kimlik doğrulama değeri.

Parolanın tek yönlü algoritmayla geri çevrilemez özete dönüştürülmüş hâli.

Aynı parolaların farklı hash üretmesi için her parolaya eklenen rastgele veri.

Parola saklamak için maliyeti ayarlanabilen yavaş hash algoritması.

Bellek ve işlem maliyeti ayarlanabilen modern parola hash algoritması.

Minimum uzunluk, yasaklı parola ve tekrar kullanım gibi parola kuralları.

Kullanıcının doğrulanmış kanal üzerinden yeni parola belirlemesi süreci.

Tek kullanımlık ve süreli parola sıfırlama anahtarı.

Hesabın e-posta adresine erişimin doğrulanması.

Kimlik doğrulamada birden fazla bağımsız faktör kullanma.

Parolaya ek olarak ikinci doğrulama adımı kullanma.

Authenticator uygulamalarının zaman tabanlı tek kullanımlık kod standardı.

Bir kez veya kısa süre kullanılabilen doğrulama kodu.

İkinci faktöre erişim kaybolduğunda kullanılabilen yedek kod.

Public key kriptografisiyle parola yerine cihaz tabanlı giriş yöntemi.

Tarayıcı ve authenticator arasında phishing'e dayanıklı kimlik doğrulama standardı.

Parmak izi veya yüz gibi biyometrik doğrulamayı cihaz üzerinden kullanma.

Sunucuda oturum kaydı, tarayıcıda session id cookie'si kullanan giriş modeli.

Sunucu tarafındaki oturum kaydını tanımlayan rastgele değer.

Aktif oturumların Redis veya veritabanında tutulduğu depo.

Oturumun belirli süre sonunda geçersiz olması.

Kullanıcı etkin değilken belirli süre sonunda oturumu kapatma.

Etkinlik olsa da oturumun maksimum yaşam süresi.

Header, payload ve signature bölümlerinden oluşan imzalı token formatı.

Token içindeki claim verileri; şifrelenmiş olmak zorunda değildir.

Token'ın değiştirilmediğini ve beklenen anahtarla üretildiğini doğrular.

Token içinde kullanıcı, yetki veya süre hakkında taşınan bilgi.

Token'ın sona erme zamanını belirtir.

Token'ı yayınlayan sistemi belirtir.

Token'ın hangi hedef servis için üretildiğini belirtir.

Süresi dolmadan token veya oturumun geçersiz kılınması.

Her yenilemede eski refresh token'ı iptal edip yenisini üretme.

Yetkileri kullanıcı yerine rol grupları üzerinden yönetme modeli.

Admin, editör veya personel gibi izin grubu.

Müşteri görüntüle veya fatura sil gibi belirli işlem yetkisi.

Kullanıcıya bir veya birden fazla rol bağlama işlemi.

Roller ile kaynak-işlem izinlerini tablo hâlinde gösteren yapı.

Yetki kararını kullanıcı, kaynak ve ortam attribute'larına göre verme modeli.

Bir erişim kararının koşul ve sonuçlarını tanımlayan kural.

Kullanıcının yalnızca kendisine ait kaynağa erişmesini doğrulama.

Bir müşterinin verisinin başka tenant tarafından görülememesini garanti etme.

Kullanıcı ve servislerin yalnızca ihtiyaç duyduğu minimum yetkiye sahip olması.

Riskli bir işlemin tek kişi tarafından baştan sona yapılamaması ilkesi.

Yetkili kullanıcıların sistem yapılandırması ve kayıtları yönettiği alan.

Yetkili destek kullanıcısının audit altında başka kullanıcı görünümüyle sistemi incelemesi.

Giriş, yetki ve kritik işlemlerin kim-zaman-ne bilgisiyle kaydı.

Başarısız giriş, rol değişimi veya şüpheli trafik gibi güvenlik olayı.

Verinin ağda TLS ile şifrelenmesi.

Diskte veya veritabanında saklanan verinin şifrelenmesi.

Şifreleme ve çözme için aynı gizli anahtarın kullanılması.

Public ve private key çiftinin kullanıldığı kriptografi.

Paylaşılabilen ve doğrulama/şifreleme işlemlerinde kullanılan anahtar.

Gizli tutulması gereken imzalama veya çözme anahtarı.

Veriyi tek yönlü sabit uzunluklu özete dönüştürme.

Gizli anahtarla mesaj bütünlüğü ve kaynağını doğrulayan hash tabanlı kod.

Verinin belirli private key sahibi tarafından imzalandığını kanıtlar.

Kriptografik anahtarları kontrollü aralıklarla yenileme.

Parola, API anahtarı veya private key gibi gizli yapılandırma değeri.

Gizli bilginin Git, log, frontend veya hata mesajıyla açığa çıkması.

Web uygulama güvenliği için rehber ve risk listeleri üreten topluluk.

Sistemin varlık, saldırgan, giriş noktası ve tehditlerini tasarım aşamasında analiz etme.

Bir saldırganın sisteme erişebileceği tüm giriş noktaları ve bileşenler.

Saldırganın kullanabileceği güvenlik zayıflığı.

Bir zafiyeti kullanarak beklenmeyen davranış elde etme yöntemi.

Güvenlik veya hata düzeltmesi içeren yazılım güncellemesi.

Kamuya açıklanan güvenlik açıklarına verilen standart kimlik.

Kullanılan üçüncü parti pakette bulunan güvenlik açığı.

Proje bağımlılıklarını bilinen zafiyetlere karşı tarama.

Kaynak kodu çalıştırmadan güvenlik açığı desenlerine karşı analiz etme.

Çalışan uygulamayı dışarıdan güvenlik testine tabi tutma.

Yetkili uzmanların gerçek saldırı teknikleriyle sistem güvenliğini sınaması.

Kontrolsüz girdinin SQL sorgusuna komut olarak karışması.

SQL injection'ı önlemek için veriyi sorgudan ayrı parametre olarak gönderme.

Saldırganın başka kullanıcının tarayıcısında zararlı script çalıştırması.

Zararlı içeriğin veritabanında saklanıp kullanıcılara gösterilmesi.

Zararlı girdinin request üzerinden yanıta doğrudan yansıtılması.

Güvensiz istemci JavaScript'inin DOM'a zararlı veri yazması.

Kullanıcı verisini HTML, attribute veya JavaScript bağlamına uygun kaçışla gösterme.

Tarayıcıda hangi script, stil ve kaynakların çalışabileceğini sınırlayan header.

Giriş yapmış kullanıcının tarayıcısına onun isteği gibi zararlı işlem yaptırılması.

Form veya isteğin uygulama tarafından üretildiğini doğrulayan rastgele değer.

Cookie'nin cross-site isteklerde gönderilme davranışını sınırlar.

Sunucunun saldırgan tarafından seçilen iç veya dış URL'ye istek yapmaya zorlanması.

Kontrolsüz URL parametresiyle kullanıcıyı zararlı domaine yönlendirme açığı.

../ gibi yollarla izin verilen klasör dışındaki dosyalara erişme saldırısı.

Kullanıcı girdisinin işletim sistemi komutuna kontrolsüz eklenmesi.

Yüklenen dosyanın tür, içerik veya konum kontrolü olmadan çalıştırılabilmesi.

Dosyanın beyan edilen ve gerçek içerik türünü doğrulama.

Yüklenen dosyayı zararlı yazılım motoruyla tarama.

Belirli kimlik veya IP'nin kısa sürede yapabileceği istek sayısını sınırlama.

Çok sayıda parola veya kod deneyerek giriş yapmaya çalışma.

Başka sızıntılardan alınan kullanıcı-parola çiftlerini deneme saldırısı.

Çok sayıda başarısız girişten sonra hesabı geçici kilitleme.

İşlemi insanın yaptığını doğrulamaya çalışan test veya risk sistemi.

Otomatik kötüye kullanım trafiğini tespit edip sınırlar.

Güvenilmeyen origin'lere credential veya hassas API erişimi verilmesi.

Tarayıcı güvenlik davranışlarını belirleyen HTTP response header'ları.

Tarayıcıya domain için yalnızca HTTPS kullanmasını söyleyen header.

Tarayıcının MIME türünü tahmin etmesini engelleyen header.

Sayfayı görünmez iframe içinde gösterip kullanıcıya başka işlem yaptırma saldırısı.

CSP içinde sayfanın hangi origin'lerce iframe'e alınabileceğini belirler.

Kimlik, finans, sağlık veya özel erişim gibi korunması gereken veri.

Bir kişiyi doğrudan veya dolaylı tanımlayabilen kişisel veri.

Hassas verinin bir bölümünü kullanıcı veya loglarda gizleme.

Hassas bilgiyi çıktıdan tamamen çıkarma veya kapatma.

Yalnızca gerçekten gerekli kişisel veriyi toplama ve saklama ilkesi.

Yedeklerin şifreli, erişimi kısıtlı ve geri yüklenebilir tutulması.

Güvenlik olaylarını yeterli ayrıntıyla ve değiştirilemez biçimde kaydetme.

Güvenlik olayını tespit etme, sınırlama, temizleme ve raporlama süreci.