Subresource Integrity, dışarıdan yüklenen kaynakların bütünlüğünü doğrulayan bir güvenlik mekanizmasıdır. Modern web uygulamaları, betik ve stil dosyalarını sıklıkla dış kaynaklardan yükler. Bu dış kaynaklar ele geçirilir ya da değiştirilirse, uygulamaya zararlı kod sızabilir. Bu mekanizma, her dış kaynağın beklenen bir özetle eşleşmesini kontrol ederek bu riski önler. Kaynak değiştirilmişse, özet eşleşmez ve tarayıcı kaynağı yüklemeyi reddeder.

Mekanizmanın değeri, tedarik zinciri saldırılarına karşı koruma sağlamasından gelir. Bir uygulamanın kullandığı dış kaynak, uygulamanın kendisi güvenli olsa bile bir zafiyet kaynağı olabilir. Bu mekanizma, dış kaynağın bütünlüğünü doğrulayarak bu dolaylı riski azaltır. Böylece bir dış kaynak ele geçirilse bile, değiştirilmiş içerik çalıştırılmaz. Bu koruma, uygulamanın güven sınırını dış kaynaklara da genişletir.

Subresource Integrity Nedir?

SRI, dışarıdan yüklenen betik ve stil kaynaklarının bir özetle doğrulanarak, değiştirilmiş kaynakların tarayıcı tarafından çalıştırılmasını engelleyen bir bütünlük mekanizmasıdır.

Mekanizma, kaynağa eklenen bir bütünlük özeti aracılığıyla çalışır. Geliştirici, dış kaynağın beklenen içeriğinin bir özetini hesaplar ve bunu kaynağın tanımına ekler. Tarayıcı, kaynağı yükledikten sonra içeriğinin özetini hesaplar ve beklenen özetle karşılaştırır. İki özet eşleşirse kaynak çalıştırılır, eşleşmezse reddedilir. Bu karşılaştırma, kaynağın hiç değiştirilmediğini güvence altına alır.

Özet, kaynağın içeriğine dayalı benzersiz bir parmak izidir. İçerikte en küçük bir değişiklik bile tamamen farklı bir özet üretir. Bu özellik, en ufak bir kurcalamanın bile tespit edilmesini sağlar. Bu nedenle mekanizma, kaynağın bütünlüğünü çok hassas biçimde doğrular. Güçlü bir özet algoritması kullanılması, bu doğrulamanın güvenilirliğini sağlar.

Hangi Saldırılara Karşı Korur?

Mekanizmanın başlıca koruduğu saldırı, dış kaynağın ele geçirilmesidir. Bir dış kaynak sağlayıcısı ele geçirilirse, saldırgan tüm kullanıcılara zararlı kod sunabilir. Tedarik zinciri saldırıları bu yolla geniş etki yaratabilir. Bu mekanizma etkinken, değiştirilmiş kaynak beklenen özetle eşleşmediği için çalıştırılmaz. Böylece dış kaynak ele geçirilse bile uygulama korunur.

İkinci koruma, aktarım sırasındaki değişikliklere karşıdır. Bir kaynak, kullanıcıya ulaşırken araya giren bir saldırgan tarafından değiştirilebilir. Bu mekanizma, ulaşan kaynağın bütünlüğünü kontrol ederek bu değişikliği tespit eder. Değiştirilmiş bir kaynak, özet uyuşmazlığı nedeniyle reddedilir. Böylece aktarım sırasındaki kurcalama da engellenmiş olur.

Üçüncü koruma, dağıtım altyapısındaki risklere karşıdır. İçerik dağıtım ağları, kaynakları geniş bir altyapı üzerinden sunar ve bu altyapı bir risk noktası oluşturur. İçerik dağıtım ağı üzerinden sunulan bir kaynak değiştirilirse, bu mekanizma değişikliği yakalar. Böylece dağıtım altyapısına duyulan güven, bütünlük doğrulamasıyla desteklenir. Bu koruma, geniş dağıtım altyapılarının riskini azaltır.

• Dış kaynak sağlayıcısının ele geçirilmesine karşı koruma
• Aktarım sırasındaki değişikliklerin tespiti
• Dağıtım altyapısındaki kurcalamaların yakalanması
• Değiştirilmiş kaynağın çalıştırılmasının engellenmesi
• Tedarik zinciri risklerinin azaltılması

Nasıl Uygulanır?

Uygulama, her dış kaynağa beklenen özetinin eklenmesiyle yapılır. Geliştirici, kaynağın güvenilir bir sürümünün özetini hesaplar ve bunu kaynak tanımına ekler. Bu işlem, uygulamanın kullandığı tüm dış betik ve stil kaynakları için tekrarlanır. Böylece tüm dış kaynaklar bütünlük doğrulamasına tabi olur. Bu kapsamlı uygulama, dış kaynak risklerini geniş biçimde azaltır.

Uygulamada dikkat edilmesi gereken bir nokta, kaynak güncellemeleridir. Bir dış kaynağın sürümü güncellendiğinde, özetinin de güncellenmesi gerekir. Aksi hâlde, meşru bir güncelleme özet uyuşmazlığı nedeniyle reddedilir. Bu nedenle kaynak güncelleme süreci, özet güncellemesini de içermelidir. Bu eşgüdüm, hem güvenliğin hem işlevselliğin korunmasını sağlar.

Otomatik araçlar, özet hesaplama ve güncelleme sürecini kolaylaştırır. Geliştirme araçları, kaynak eklenirken ya da güncellenirken özeti otomatik hesaplayabilir. Bu otomasyon, hem hata olasılığını azaltır hem de sürecin sürdürülebilir olmasını sağlar. Elle yapılan özet yönetimi, ölçek büyüdükçe hataya açık hâle gelir. Bu nedenle otomasyon, mekanizmanın etkin kullanımı için değerlidir.

Sınırları ve Doğru Kullanım

Mekanizmanın bir sınırı, yalnızca belirli kaynak türlerini kapsamasıdır. Betik ve stil kaynakları için etkili olsa da, tüm içerik türleri aynı biçimde korunmaz. Bu nedenle mekanizma, kapsamlı bir güvenlik çözümü değil, belirli bir riske odaklanan bir katmandır. Diğer güvenlik önlemleriyle birlikte kullanıldığında en yüksek değeri üretir. Bu sınırın anlaşılması, mekanizmaya aşırı güvenmeyi önler.

Bir diğer sınır, sık değişen kaynaklarla uyumdur. İçeriği sık değişen bir dış kaynak, her değişiklikte özet güncellemesi gerektirir. Bu durum, bazı dinamik kaynaklar için mekanizmayı zahmetli kılabilir. Bu nedenle mekanizma, en çok statik ve sürümlenmiş kaynaklar için uygundur. Kaynak türüne göre doğru yaklaşımın seçilmesi, mekanizmanın etkin kullanımını sağlar.

Mekanizma, içerik güvenlik politikasıyla birlikte kullanıldığında güçlenir. Politika, hangi kaynakların yükleneceğini kısıtlarken, bu mekanizma yüklenen kaynakların bütünlüğünü doğrular. İki mekanizma, dış kaynak güvenliğini farklı açılardan ele alır. İçerik güvenlik politikası ile bu mekanizmanın birlikte kullanımı, kapsamlı bir dış kaynak savunması sağlar. Bu katmanlı yaklaşım, dış kaynak risklerini bütünsel biçimde azaltır.

• Tüm dış betik ve stil kaynaklarına özet eklenmesi
• Kaynak güncellemelerinde özetlerin güncellenmesi
• Özet yönetiminin otomatik araçlarla kolaylaştırılması
• Statik ve sürümlenmiş kaynaklarda tercih edilmesi
• İçerik güvenlik politikasıyla birlikte kullanımı

Tedarik Zinciri Güvenliğindeki Yeri

Bu mekanizma, daha geniş bir yazılım tedarik zinciri güvenliği çerçevesinin bir parçasıdır. Modern uygulamalar, çok sayıda dış kaynağa ve bağımlılığa dayanır ve her biri bir risk noktasıdır. Bu mekanizma, dış kaynakların bütünlüğünü doğrulayarak bu risklerden birini ele alır. Ancak tedarik zinciri güvenliği, yalnızca bütünlük doğrulamasından ibaret değildir. Kapsamlı bir yaklaşım, tüm bağımlılıkların güvenliğini bütünsel biçimde ele almalıdır.

Tedarik zinciri saldırıları, giderek daha yaygın ve sofistike hâle gelmektedir. Saldırganlar, doğrudan hedef yerine onun güvendiği bir dış kaynağı hedef alır. Bu dolaylı yaklaşım, tek bir ele geçirmeyle çok sayıda kurbana ulaşmayı sağlar. Bu mekanizma, bu tür saldırıların bir biçimine karşı somut koruma sunar. Ancak diğer tedarik zinciri risklerine karşı ek önlemler de gereklidir.

Bağımlılıkların bütünsel yönetimi, bu çerçevenin temelini oluşturur. Kullanılan tüm dış kaynakların ve bileşenlerin envanteri çıkarılmalı ve izlenmelidir. Yazılım malzeme listesi, bu görünürlüğü sağlayan önemli bir araçtır. Bu envanter, hem bilinen zafiyetlerin hem de bütünlük risklerinin yönetilmesine yardımcı olur. Kapsamlı bir bağımlılık yönetimi, tedarik zinciri güvenliğinin temelidir.

Kendi Kaynaklarını Barındırma

Bir alternatif yaklaşım, dış kaynakları kendi altyapısında barındırmaktır. Kaynakları dışarıdan yüklemek yerine, güvenilir bir sürümlerini kendi sunucusundan sunmak riski azaltır. Bu yaklaşım, dış sağlayıcıya duyulan güven ihtiyacını ortadan kaldırır. Ancak bu durumda, kaynakların güncel tutulması sorumluluğu da kuruma geçer. Bu tercih, kontrol ile bakım yükü arasında bir denge gerektirir.

Kendi kaynaklarını barındırma, bütünlük doğrulamasıyla birlikte de kullanılabilir. Kaynaklar kendi altyapıda barındırılsa bile, bütünlük doğrulaması ek bir güvenlik katmanı sağlar. Bu birleşim, hem dış bağımlılığı azaltır hem de iç kurcalamalara karşı koruma sunar. İki yaklaşımın birlikte kullanımı, dış kaynak güvenliğini en yüksek düzeye çıkarır. Katmanlı bu yaklaşım, farklı risk biçimlerine karşı kapsamlı koruma sağlar.

Bu tercih, uygulamanın ihtiyaçlarına göre değerlendirilmelidir. Bazı durumlarda dış dağıtım ağının performans avantajı önceliklidir. Diğer durumlarda, kontrol ve güvenlik daha ağır basar. Bu nedenle karar, performans, kontrol ve güvenlik dengesi göz önünde bulundurularak verilmelidir. Doğru tercih, uygulamanın önceliklerine göre belirlenir.

Yaygın Yanlışlar

Sık yapılan bir hata, bütünlük doğrulamasını yalnızca bazı kaynaklara uygulamaktır. Doğrulama yalnızca bazı kaynakları kapsıyorsa, kapsanmayan kaynaklar savunmasız kalır. Bu nedenle mekanizma, tüm dış betik ve stil kaynaklarına tutarlı biçimde uygulanmalıdır. Eksik kapsama, bir güvenlik boşluğu oluşturur. Tutarlı uygulama, mekanizmanın etkin çalışmasının ön koşuludur.

Bir diğer hata, kaynak güncellemelerinde özetleri güncellemeyi unutmaktır. Bir kaynak meşru biçimde güncellendiğinde, özeti de güncellenmelidir. Aksi hâlde, meşru güncelleme özet uyuşmazlığı nedeniyle reddedilerek işlevsellik bozulur. Bu nedenle güncelleme süreci, özet güncellemesini de içermelidir. Otomatik araçlar, bu eşgüdümü kolaylaştırarak hata olasılığını azaltır.

Üçüncü hata, zayıf bir özet algoritması kullanmaktır. Bütünlük doğrulaması, ancak güçlü bir özet algoritmasıyla güvenilir olur. Zayıf bir algoritma, teorik olarak atlatılabilir ve korumayı zayıflatır. Bu nedenle güncel ve güçlü özet algoritmaları tercih edilmelidir. Güçlü algoritma seçimi, doğrulamanın güvenilirliğini güvence altına alır.

Privia Security olarak dış kaynak bütünlüğü ve tedarik zinciri güvenliğinin değerlendirilmesini düzenli zafiyet tarama kapsamında ele alıyoruz.