Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Siber Guvenlik Terimleri Sozlugu
Clickjacking, kullanıcının görünmez bir katman üzerinden istemediği bir işlemi onaylamasını sağlayan saldırıdır.
Clickjacking, kullanıcının bir sayfada tıkladığını sandığı öğe yerine, üzerine yerleştirilmiş görünmez bir katmandaki başka bir öğeye tıklamasını sağlayan saldırı türüdür. Saldırgan, hedef siteyi şeffaf bir çerçeve içinde kendi sayfasına gömer ve üzerine cazip bir içerik yerleştirir. Kullanıcı bu içeriğe tıkladığında aslında alttaki gerçek siteye tıklamış olur. Kullanıcının oturumu açık olduğu için işlem yetkili biçimde gerçekleşir. Sonuçta kullanıcı, farkında olmadan bir eylemi onaylamış olur.
Saldırının işe yaraması için kullanıcının hedef sitede oturumunun açık olması gerekir. Tarayıcı, çerçeve içindeki isteklere de oturum çerezini gönderdiği için işlem meşru sayılır. Bu nedenle saldırı, kimlik doğrulama katmanını hiç zorlamadan sonuca ulaşır. Hedef sitenin kendisinde bir zafiyet bulunması da gerekmez. Eksik olan tek şey, sayfanın çerçevelenmeye karşı korunmamış olmasıdır.
Clickjacking, hedef sayfanın şeffaf bir çerçeve içinde gömülerek kullanıcının görünen içerik yerine alttaki gerçek öğelere tıklamasının sağlandığı kullanıcı arayüzü sahteciliği saldırısıdır.
Teknik, tarayıcıların sayfaları iç içe gösterebilme yeteneğine dayanır. Bu yetenek meşru amaçlarla da kullanılır; gömülü video oynatıcılar ve ödeme çerçeveleri bu yeteneğe ihtiyaç duyar. Sorun, yeteneğin kısıtlanmamış olmasından kaynaklanır. Bir site kimlerin kendisini çerçeveleyebileceğini belirtmediğinde, herkes bunu yapabilir. Savunma da tam olarak bu belirtimin yapılmasıyla sağlanır.
Saldırgan önce kendi kontrolündeki bir sayfa hazırlar ve kullanıcıyı buraya çeker. Sayfada dikkat çekici bir düğme, oyun ya da bir ödül vaadi bulunur. Bu görünür katmanın hemen üzerine, hedef sitenin ilgili sayfası şeffaf biçimde yerleştirilir. Katmanların konumu, kullanıcının tıklayacağı yerin hedef sitedeki kritik düğmeye denk gelmesi için ayarlanır. Kullanıcı tıkladığında işlem gerçek sitede gerçekleşir.
Bazı varyasyonlarda katman tamamen şeffaf değil, kısmen görünürdür. Kullanıcının imlecinin hareketine göre çerçeve konumu değiştirilerek tıklamanın doğru yere denk gelmesi sağlanır. Sürükle bırak işlemlerini hedef alan varyasyonlar da bulunur. Bu varyasyonlarda kullanıcıya bir metni sürüklemesi söylenir ve sürüklenen içerik aslında hassas bir veridir. Tüm varyasyonların ortak noktası, kullanıcının niyeti ile gerçekleşen işlem arasındaki farktır.
Sızma testinden olay müdahalesine, uçtan uca çözümlerle yanınızdayız.
Fiyat Teklifi AlSonuçlar, hedef alınan işlemin kritikliğine göre değişir. Sosyal medya hesabında istem dışı bir paylaşım yapılması görece hafif bir sonuçken, bir hesapta yetki değişikliği onaylanması ciddi bir güvenlik olayıdır. Ödeme onayı, hesap silme ve veri paylaşımı gibi işlemler de hedef alınabilir. Yönetim panellerinde ise kullanıcı ekleme ya da yetki yükseltme işlemleri onaylatılabilir. Bu nedenle yönetim arayüzleri öncelikli korunmalıdır.
Saldırının bir diğer kullanımı, tarayıcı izinlerinin onaylatılmasıdır. Kamera, mikrofon ve konum izinleri için tarayıcının gösterdiği onay kutusu, aynı teknikle kullanıcıya tıklatılabilir. Modern tarayıcılar bu senaryoya karşı ek korumalar uygular. Yine de eski sürümlerde ve bazı yapılandırmalarda risk devam eder. Tarayıcıların güncel tutulması bu nedenle önemlidir.
En etkili önlem, sayfanın çerçevelenme davranışını açıkça belirtmesidir. İçerik güvenlik politikası içindeki çerçeve atası yönergesi, hangi kaynakların sayfayı gömebileceğini tanımlar. Hiçbir sitenin gömmesine izin verilmediğinde saldırı tamamen etkisiz kalır. İçerik güvenlik politikası bu koruma için önerilen yöntemdir. Yönerge sunucu tarafında tek satırla tanımlanır.
Eski tarayıcılar için ayrı bir başlık da kullanılabilir. Bu başlık daha sınırlı seçenekler sunar ama geniş uyumluluk sağlar. İki yöntemin birlikte tanımlanması yaygın bir uygulamadır. HTTP güvenlik başlıkları arasında bu iki tanım öncelikli olarak yapılandırılır. Yapılandırma, tüm sayfalar için tutarlı uygulanmalıdır.
Meşru gömme ihtiyacı olan sayfalarda kısıtlama tamamen kaldırılmaz, izinli kaynaklar listelenir. Böylece yalnızca belirlenen ortak siteler gömebilir. Liste dar tutulmalı ve düzenli gözden geçirilmelidir. İş ortaklığı sona erdiğinde ilgili kaynak listeden çıkarılır. Aksi hâlde eski bir izin açık kalır.
Kritik işlemler için ek onay adımı eklenmesi, saldırının etkisini sınırlar. Kullanıcıdan parolasını yeniden girmesi ya da bir doğrulama kodu sağlaması istendiğinde, tek tıklamayla işlem tamamlanamaz. Bu yaklaşım özellikle geri dönüşü olmayan işlemlerde önerilir. Hesap silme, yetki değişikliği ve ödeme onayı bu kategoridedir. Ek adım, kullanıcı deneyimini az etkilerken riski belirgin biçimde düşürür.
Oturum çerezlerinin siteler arası isteklerde kısıtlanması da yardımcı olur. Çerezin yalnızca aynı siteden gelen isteklerde gönderilmesi, çerçeve içindeki işlemin kimliksiz kalmasına yol açar. Bu ayar, birçok modern tarayıcıda varsayılan hâle gelmiştir. Yine de sunucu tarafında açıkça tanımlanması önerilir. Varsayılana güvenmek, eski tarayıcılarda boşluk bırakır.
Kullanıcı arayüzü tarafında da önlemler alınabilir. Kritik düğmelerin konumunun rastgele değişmesi ya da onay için kullanıcı etkileşimi gerektiren tasarımlar saldırıyı zorlaştırır. Ancak bu yöntemler ana savunma olarak kullanılmamalıdır. Başlık tabanlı koruma her zaman önceliklidir. Arayüz önlemleri yalnızca tamamlayıcıdır.
Korumanın gerçekten çalıştığını doğrulamanın en basit yolu, sayfayı bir test sayfasına gömmeye çalışmaktır. Koruma etkinse tarayıcı çerçeveyi yüklemez ve konsolda bir hata mesajı görünür. Bu test, tüm kritik sayfalar için ayrı ayrı yapılmalıdır. Çoğu ortamda ana sayfa korunurken alt sayfaların korunmadığı görülür. Kapsama eksikliği en sık karşılaşılan sorundur.
Otomatik güvenlik tarayıcıları da bu eksikliği raporlar. Ancak raporun yalnızca başlık varlığını değil, değerinin doğruluğunu da kontrol etmesi gerekir. Yanlış yapılandırılmış bir başlık, var olduğu hâlde koruma sağlamayabilir. Bu nedenle bulguların elle doğrulanması önerilir. Doğrulama, geliştirme sürecinin bir adımı hâline getirilebilir.
Mobil uygulamalar içinde gömülü çalışan tarayıcı bileşenleri, masaüstü tarayıcılardan farklı davranabilir. Bu bileşenlerde adres çubuğu görünmeyebilir ve güvenlik başlıklarının uygulanma biçimi değişebilir. Uygulama geliştiricisinin gömülü tarayıcıyı nasıl yapılandırdığı belirleyici olur. Yanlış yapılandırılmış bir gömülü tarayıcı, kullanıcının hangi siteyle etkileşimde olduğunu göremediği bir ortam yaratır. Bu nedenle uygulama içi tarayıcı kullanımının güvenlik değerlendirmesi ayrıca yapılmalıdır.
Mobil ekranların dar olması da saldırıyı kolaylaştırır. Katmanların hizalanması küçük ekranlarda daha az hassasiyet gerektirir ve kullanıcının fark etme olasılığı düşer. Ayrıca dokunmatik etkileşimde imleç geri bildirimi bulunmaz. Kullanıcı, nereye dokunduğunu görsel olarak doğrulayamaz. Bu fark, mobil senaryolarda ek koruma gerekliliğini doğurur.
Bu nedenle mobil uygulamalarda kritik işlemler için ayrı bir onay akışı tasarlanmalıdır. İşlem özetinin ayrı bir ekranda gösterilip biyometrik doğrulamayla onaylanması yaygın bir yaklaşımdır. Bu akış, gömülü tarayıcı katmanının dışında çalışır. Mobil uygulama güvenliği değerlendirmelerinde bu tasarım aranır. Eksikliği önemli bir bulgu olarak raporlanır.
Bu tekniğin en yaygın kullanım alanlarından biri, sosyal ağ etkileşimlerinin çalınmasıdır. Kullanıcının bilmeden bir sayfayı beğenmesi ya da paylaşması bu yolla sağlanır. Etki görece hafif görünse de, hesap üzerinden yapılan paylaşımlar itibar sorunu yaratabilir. Ayrıca bu paylaşımlar başka kullanıcıları da zararlı içeriğe yönlendirir. Zincirleme etki, saldırının yayılmasını sağlar.
Reklam ağları üzerinden yayılan varyasyonlar da bulunur. Reklam çerçevesi içinde çalışan bir betik, sayfada görünmez katmanlar oluşturabilir. Site sahibinin bu içerik üzerinde doğrudan denetimi yoktur. Bu nedenle reklam çerçevelerinin kısıtlı yetkilerle çalıştırılması gerekir. Çerçeve kum havuzu özellikleri bu kısıtlamayı sağlar.
Kurumsal ortamda içerik engelleme kullanımı bu riski azaltır. Reklam ve izleme betiklerinin engellenmesi, hem saldırı yüzeyini daraltır hem de performans kazandırır. Karar, kurumun web kullanım politikasına göre verilir. Uygulama merkezî tarayıcı politikalarıyla yapılır. Kullanıcı bazında bırakılan tercihler tutarsız sonuç verir.
İlk madde, tüm sayfalarda çerçeveleme korumasının tanımlanmış olmasıdır. İkinci madde, oturum çerezlerinin siteler arası isteklerde kısıtlanmasıdır. Üçüncü madde, kritik işlemlerde ek doğrulama istenmesidir. Dördüncü madde, meşru gömme ihtiyacı olan sayfalar için izin listesinin dar tutulmasıdır. Beşinci madde, korumanın otomatik testlerle sürekli doğrulanmasıdır.
Bu maddelerin uygulama çerçevesi düzeyinde merkezî olarak sağlanması tercih edilir. Her sayfa için ayrı yapılandırma yapılması, zamanla eksik kalan sayfalar üretir. Merkezî varsayılan, yeni eklenen sayfaların da korunmasını sağlar. İstisnalar açıkça tanımlanır ve gerekçelendirilir. Varsayılan güvenli yapılandırma ilkesi burada uygulanır.
Privia Security olarak web uygulamalarının güvenlik başlıkları ve arayüz katmanı korumalarınıdüzenli zafiyet tarama hizmeti kapsamında denetliyor, eksik yapılandırmaları önceliklendirilmiş biçimde raporluyoruz.
Bunlar İlginizi Çekebilir
