Web security, authentication, and secure coding practices
78 posts
OAuth 2.0, web kaynaklarına erişim yetkilendirmesini kökten değiştirdi ancak önemli bir güvenlik açığı getirdi: token çalınması. Bu yazıda, token çalınması ve replay saldırılarına karşı API tokenlarını korumak için OAuth2 Token Bağlama ve DPoP nasıl uygulanır, pratik kod örnekleriyle inceleniyor.
Yıllar boyunca yetkilendirme kodu akışı, web uygulamalarını güvence altına almak için altın standarttı. Ancak Tek Sayfa Uygulamaları (SPA'lar) ve yerel mobil istemciler benzersiz bir zorluk getirdi: bunlar "kamusal istemcilerdir". Geleneksel sunucu taraflı uygulamaların aksine, bu istemciler güvenli bir şekilde...
Uygulama güvenliği alanında, kullanıcı kimlik bilgilerinin yönetimi kadar kritik bir sorumluluk yoktur. Onlarca yıl boyunca sektör, MD5 ve SHA-1 gibi hızlı, tek yönlü karma işlevlerine güveniyordu. Ancak donanım yetenekleri, özellikle GPU'ların ve özelleşmiş...
OAuth2 akışınızı tasarlarken, yetkilendirme kodu engelleme saldırılarını önlemek için herkese açık istemcilerde her zaman PKCE (Kod Değişimi İçin Kanıt Anahtarı) ile Yetkilendirme Kodu Grant akışını kullanın. Erişim token'larını URL parçasında açığa çıkardığı için Varsayılan Grant akışından tamamen kaçının.
Bulut-native uygulama geliştirme ortamının evrimiyle birlikte, geleneksel "kale ve hendek" güvenlik modeli artık geçerliliğini yitirmiştir. Mikroservislerin, konteynerlerin ve geçici iş yüklerinin yaygınlaşmasıyla iç ağ sınırları etkili bir şekilde ortadan kalkmıştır. Bu değişim, hizmetler arası iletişimi güvence altına alma biçimimizde temel bir değişikliği zorunlu kılar...
Geleneksel güvenlik modeli güçlü bir ağ çemberine dayanıyordu. Kale duvarlarının içinde her şey güvenilir; dışarıda ise her şey kötü niyetli kabul ediliyordu. Mikroservisler, konteynerleştirme ve çoklu bulut dağıtımları çağında bu "kale ve hendek" yaklaşımı artık geçerliliğini yitirmiştir. Hizmetlerin dinamik ağlar üzerinden, çoğunlukla farklı bulut sağlayıcıları arasında iletişim kurmasıyla çember erimiştir. İşte burada <strong>Sıfır Güvenlik Mimarisi (ZTA)</strong> devreye girer: Güvenin asla örtük olmaması ve her zaman doğrulanması gerektiği varsayımına dayanan bir güvenlik paradigmaları.
Kurumlar monolitik mimarilerden mikroservislere geçiş yaptıkça, geleneksel çevre tabanlı güvenlik modeli artık geçerliliğini yitiriyor. Dağıtık bir ortamda her servis potansiyel olarak maruz kalır ve kimlik doğrulama kritik hale gelir. İşte burada Sıfır Güvenlik Mimarisi (ZTA) devreye girer. Sıfır Güvenlik, "asla güvenme, her zaman doğrula" ilkesiyle çalışır ve özel ağdaki kaynaklara erişmeye çalışan her kişi ve cihaz için sıkı bir kimlik doğrulama gerektirir.