Technical Tutorials

Modern web geliştirme ortamında, Uygulama Programlama Arayüzlerini (API) güvence altına almak sadece bir en iyi uygulama değil, temel bir gerekliliktir. Tek Sayfa Uygulamaları (SPA) ve mobil uygulamalar arka uç sunucularıyla iletişim kurarken, geleneksel oturum tabanlı kimlik doğrulama genellikle zahmetli hale gelir. İşte tam da burada JSON Web Tokenları (JWT) öne çıkar. JWT, istemci ile sunucu arasında kullanıcı kimliğini, sunucu tarafında oturum verisi depolamadan güvenli bir şekilde aktarmayı sağlayan, devletten bağımsız (stateless) kimlik doğrulama için endüstri standardı haline gelmiştir. Bu makalede, JWT'nin mekaniklerini inceleyecek, Python'daki uygulamasını keşfedecek ve genellikle amatör uygulamaları üretim düzeyine hazır sistemlerden ayıran kritik güvenlik hususlarını tartışacağız.

Bir JWT'nin Anatomisini Anlamak

Koda dalmadan önce, bir JWT'nin aslında ne olduğunu anlamak esastır. JWT, taraflar arasında bilgiyi güvenli bir şekilde bir JSON nesnesi olarak aktarmak için kompakt ve kendi kendine yeten bir yol tanımlayan açık bir standarttır (RFC 7519). Bu bilgi dijital olarak imzalandığı için doğrulanabilir ve güvenilirdir. JWT'ler, HMAC algoritmasıyla bir sır (secret) veya RSA veya ECDSA kullanarak bir genel/özel anahtar çifti kullanılarak imzalanabilir.

Bir JWT, noktalar (.) ile ayrılmış üç kısımdan oluşur:

Başlık (Header): Genellikle iki kısımdan oluşur: Tokenın türü (JWT) ve kullanılan imzalama algoritması (örn. HS256, RS256).
Yük (Payload): İddiaları (claims) içerir. İddialar, bir varlık (genellikle kullanıcı) hakkında beyanlar ve ek verilerdir. Üç tür iddia vardır: kayıtlı, kamusal ve özel iddialar.
İmza (Signature): Kodlanmış başlık, kodlanmış yük, bir sır ve başlıkta belirtilen algoritma alınarak oluşturulur ve bu kısım imzalanır.

Oluşan token şuna benzer:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

Flask ile Python'da JWT Uygulama

Bu pratik örnekte, Python ile Flask ve PyJWT kütüphanesini kullanacağız. Bu kurulum, tokenların nasıl oluşturulacağını, kodlanacağını ve doğrulanacağını gösterir. İlk olarak, gerekli kütüphanenin yüklü olduğundan emin olun:

pip install flask pyjwt

Aşağıda, kullanıcı girişini ve token oluşturmayı işleyen temel bir Flask uygulaması implementasyonu bulunmaktadır. Not: Üretim ortamında asla sırları kod içine gömmemeli veya şifreleri düz metin olarak saklamamalısınız.

import jwt
import datetime
from flask import Flask, request, jsonify

app = Flask(__name__)
# Üretim ortamında, ortam değişkenlerini kullanın
SECRET_KEY = "production-ortaminda-degistirin-sizin-super-secret-key"

def generate_token(user_id):
    """Süresi dolma süresi ile bir JWT token oluşturur."""
    payload = {
        'user_id': user_id,
        'exp': datetime.datetime.utcnow() + datetime.timedelta(hours=1),
        'iat': datetime.datetime.utcnow()
    }
    token = jwt.encode(payload, SECRET_KEY, algorithm="HS256")
    return token

@app.route('/login', methods=['POST'])
def login():
    """Basit giriş uç noktası."""
    data = request.json
    # Gerçekte, kimlik bilgilerini burada bir veritabanına karşı doğrulayın
    if data.get('username') == 'admin' and data.get('password') == 'password':
        token = generate_token(1)
        return jsonify({'token': token})
    return jsonify({'message': 'Geçersiz kimlik bilgileri'}), 401

@app.route('/protected', methods=['GET'])
def protected_route():
    """Geçerli bir JWT gerektiren korunan bir rota."""
    token = request.headers.get('Authorization').split(" ")[1]
    try:
        # Tokenı doğrula ve çöz
        data = jwt.decode(token, SECRET_KEY, algorithms=["HS256"])
        return jsonify({'message': 'Kullanıcıya erişim izni verildi', 'user_id': data['user_id']})
    except jwt.ExpiredSignatureError:
        return jsonify({'message': 'Token süresi doldu'}), 401
    except jwt.InvalidTokenError:
        return jsonify({'message': 'Geçersiz token'}), 401

if __name__ == '__main__':
    app.run(debug=True)

Güvenlik En İyi Uygulamaları ve Yaygın Tuzaklar

JWT'ler güçlü olsa da, yanlış uygulama ciddi güvenlik açıklarına yol açabilir. İzlenmesi gereken kritik kurallar şunlardır:

1. Asla Hassas Veriyi Yük (Payload) İçinde Saklamayın: Yük sadece base64 ile kodlanmıştır ve şifrelenmemiştir; bu nedenle tokena sahip olan herkes içeriğini okuyabilir. JWT yükünde asla şifreler, Kişisel Kimlik Bilgileri (PII) veya hassas finansal veriler dahil etmeyin. Hassas verileri saklamanız gerekiyorsa, tokena bir referans kimliği saklayın ve ayrıntıları güvenli bir veritabanından çekin.

2. Algoritmayı Her Zaman Doğrulayın: JWT uygulamalarına yönelik en yaygın saldırılardan biri algoritma değiştirme saldırısıdır. Sunucu RS256 tokenlarını kabul ediyorsa ancak saldırgan genel anahtarla imzalanmış bir HS256 tokenı sağlarsa, sunucu bunu yanlışlıkla doğrulayabilir. Doğrulama (decode) işlevinizde her zaman izin verilen algoritmaları açıkça belirtin (örn. algorithms=["HS256"]).

3. Kısa Ömürlerle Yenileme Tokenları (Refresh Tokens) Uygulayın: Erişim tokenlarının kısa bir ömrü olmalıdır (örn. 15 dakika), bu da tokenı çalmış bir saldırgan için fırsat penceresini sınırlar. Kullanıcının tekrar giriş yapmasını gerektirmeden yeni erişim tokenları almak için yenileme tokenları kullanın. Yenileme tokenları güvenli bir şekilde saklanmalıdır (örn. HttpOnly çerezler) ve sunucu tarafında veya döndürme politikalarıyla yönetilmelidir.

4. İletişimi Güvence Altına Alın: Uygulamanızı her zaman HTTPS üzerinden yayınlayın. JWT'ler genellikle Authorization başlığında iletilir. HTTP üzerinden iletilirse, token ara sunucu (man-in-the-middle) saldırıları ile ele geçirilebilir.

Sonuç

JWT kimlik doğrulaması, modern web uygulamalarını güvence altına almak için sağlam ve ölçeklenebilir bir çözüm sağlar. Yapısını anlayarak, PyJWT gibi kütüphaneler kullanarak doğru bir şekilde uygulayarak ve sıkı güvenlik kurallarına uyarak, geliştiriciler API'lerini yetkisiz erişime karşı koruyabilir. Güvenliğin sürekli bir süreç olduğunu unutmayın; kimlik doğrulama akışlarınızı düzenli olarak denetleyin, bağımlılıklarınızı güncel tutun ve ortaya çıkan tehditler hakkında bilgi sahibi olun. Doğru yaklaşımla JWT'ler, uygulama güvenlik araç setinizde güçlü bir müttefik olabilir.