DPoP (Demonstrating Proof-of-Possession), bir erişim token’ını onu taşıyan istemcinin özel anahtarına kriptografik olarak bağlayan bir güvenlik mekanizmasıdır. Amacı, çalınan bir token’ı saldırgan için kullanışsız hâle getirmektir; çünkü token’ı kullanmak artık ona eşlik eden anahtarın da elde bulunmasını gerektirir.

DPoP, bir token’ı “taşıyan herkes kullanabilir” belgesi olmaktan çıkarıp “yalnızca doğru anahtarı kanıtlayan kullanabilir” belgesine dönüştüren proof-of-possession yöntemidir.

Bearer Token’ın Zayıf Noktası

Klasik OAuth 2.0 akışlarında erişim token’ları çoğunlukla “bearer” niteliğindedir: taşıyıcı token mantığında, elinde token bulunan herkes onu kullanabilir. Bir token loglara sızarsa, araya giren biri yakalarsa ya da tarayıcı belleğinden çalınırsa saldırgan hiçbir ek kanıt sunmadan API çağrısı yapabilir. Token’ların sık kullanıldığı JSON Web Token tabanlı sistemlerde bu risk özellikle belirgindir.

Nasıl Çalışır?

İstemci önce bir açık/özel anahtar çifti üretir. Her API isteğine, o isteğe özgü ayrıntıları (HTTP metodu, hedef URL, zaman damgası, tek kullanımlık değer) içeren ve özel anahtarla imzalanmış bir DPoP kanıt JWT’si ekler. Yetkilendirme sunucusu, verdiği erişim token’ının içine bu anahtarın parmak izini gömer. Kaynak sunucu isteği alınca iki şeyi doğrular: token içindeki parmak izi ile isteğe eklenen imzanın aynı anahtara ait olması.

Bu bağ sayesinde saldırgan yalnızca token’ı ele geçirse bile geçerli bir kanıt üretemez, çünkü özel anahtar istemcide kalır. İmzanın istek ayrıntılarını ve zaman damgasını kapsaması, kanıtın başka bir uç noktaya veya sonraki bir ana kopyalanıp tekrar oynatılmasını da engeller.

Nerede Değer Katar?

DPoP özellikle özel anahtarı güvenli saklayamayan kamusal istemcilerde (tarayıcıdaki tek sayfa uygulamalar, mobil uygulamalar) token hırsızlığının etkisini sınırlar. Sağlam bir API güvenliği duruşunda, taşıma katmanı korumasına ek olarak token’ın kendisini sahibine bağlamak savunmayı derinleştirir. DPoP, karşılıklı TLS’e (mTLS) göre daha hafif olduğu için sertifika altyapısı kuramayan istemciler için pratik bir alternatiftir.

Token bağlamanın doğru katmanda uygulanması, anahtar üretiminden yeniden oynatma penceresinin boyutuna kadar birçok ayrıntıya bağlıdır. Genel bir REST API güvenliği tasarımında DPoP’un yerini ve etkinliğini değerlendirmek için Privia Security’nin altyapı ve mimari gözden geçirme hizmeti kimlik ve token akışlarını uçtan uca inceler.