Güvensiz doğrudan nesne referansı, kullanıcının bir nesne referansını değiştirerek yetkisi olmayan verilere erişebilmesine dayanan bir zafiyettir. Birçok uygulama, kayıtları bir tanımlayıcı üzerinden sunar ve bu tanımlayıcı isteklerde açıkça yer alır. Uygulama, isteği yapan kullanıcının o kayda erişim yetkisi olup olmadığını kontrol etmezse zafiyet doğar. Saldırgan, tanımlayıcıyı değiştirerek başka kullanıcıların kayıtlarına erişebilir. Bu basit ama yaygın hata, ciddi veri sızıntılarına yol açabilir.

Zafiyetin özü, kimlik doğrulama ile yetkilendirmenin karıştırılmasıdır. Kullanıcı geçerli biçimde oturum açmış olabilir; ancak bu, her kayda erişim yetkisi olduğu anlamına gelmez. Uygulama, kimlik doğrulamayı yaptıktan sonra her istek için ayrıca yetki kontrolü yapmalıdır. Bu ikinci kontrol atlandığında, oturum açmış herhangi bir kullanıcı başkalarının verilerine ulaşabilir. Bu ayrımın anlaşılması, savunmanın temelini oluşturur.

IDOR Nedir?

IDOR, uygulamanın bir nesne referansına erişimde yetki kontrolü yapmamasından yararlanarak kullanıcının başkalarına ait verilere erişmesine dayanan bir zafiyettir.

Zafiyet, en çok kayıtların tahmin edilebilir tanımlayıcılarla sunulduğu durumlarda ortaya çıkar. Sıralı ya da öngörülebilir tanımlayıcılar, saldırganın diğer kayıtları kolayca denemesini sağlar. Ancak asıl sorun tanımlayıcının tahmin edilebilirliği değil, yetki kontrolünün eksikliğidir. Tahmin edilemez tanımlayıcılar riski azaltsa da, tek başına yeterli bir savunma değildir. Bu nedenle savunma, her erişimde yetki kontrolüne dayanmalıdır.

Nasıl Çalışır?

Tipik bir senaryoda, kullanıcı kendi kaydını bir tanımlayıcı üzerinden görüntüler. Bu tanımlayıcı, istekte açıkça yer alır ve kullanıcı tarafından görülebilir. Saldırgan, tanımlayıcıyı bir başkasınınkiyle değiştirerek yeni bir istek gönderir. Uygulama yetki kontrolü yapmazsa, saldırgana başka bir kullanıcının kaydını döndürür. Böylece basit bir görüntüleme işlevi, yetkisiz veri erişimine dönüşür.

Saldırının etkisi, erişilen verinin hassasiyetine göre değişir. Kişisel bilgiler, finansal kayıtlar ya da özel belgeler bu yolla açığa çıkabilir. Ayrıca zafiyet yalnızca okumayla sınırlı olmayabilir; değiştirme ya da silme işlevlerinde de görülebilir. Bu durumda saldırgan, başkalarının verilerini değiştirebilir ya da silebilir. Bu geniş etki, zafiyetin ciddiyetini artırır.

Zafiyet, otomatik araçlarla ölçeklendiğinde etkisi katlanır. Saldırgan, tanımlayıcıları sırayla deneyerek çok sayıda kaydı hızla toplayabilir. Bu toplu erişim, büyük çaplı bir veri sızıntısına dönüşebilir. Veri sızdırma bu yolla önemli boyutlara ulaşabilir. Bu nedenle zafiyet, tekil bir erişim sorunu olarak değil, ölçeklenebilir bir tehdit olarak değerlendirilmelidir.

• Nesne tanımlayıcısını değiştirerek başkalarının verilerine erişim
• Kimlik doğrulama yapılmış ama yetki kontrolü eksik işlevler
• Okuma dışında değiştirme ve silme işlevlerinde de görülmesi
• Otomatik denemelerle toplu veri sızıntısına ölçeklenmesi
• Tahmin edilebilir tanımlayıcılarla kolaylaşan sömürü

Nasıl Önlenir?

En temel önlem, her erişimde sunucu tarafında yetki kontrolü yapmaktır. Uygulama, her istekte isteği yapan kullanıcının ilgili kayda erişim yetkisi olup olmadığını doğrulamalıdır. Bu kontrol, tanımlayıcının değerinden bağımsız olarak her zaman uygulanmalıdır. Erişim kontrolü bu bağlamda savunmanın merkezindedir. Her erişimde yapılan yetki kontrolü, zafiyetin kaynağını doğrudan ortadan kaldırır.

İkinci önlem, erişim kontrolünün merkezî ve tutarlı biçimde uygulanmasıdır. Yetki kontrolünün her işlevde ayrı ayrı yazılması, tutarsızlıklara ve unutulan noktalara yol açar. Bunun yerine, tüm erişimlerin geçtiği merkezî bir yetki mekanizması tercih edilmelidir. Bu merkezîleşme, kontrolün eksiksiz uygulanmasını sağlar. Tutarlı bir yaklaşım, insan hatasına bağlı boşlukları azaltır.

Üçüncü önlem, kullanıcıya özel referansların kullanılmasıdır. Kayıtlar, doğrudan genel tanımlayıcılar yerine kullanıcının bağlamına özel referanslarla sunulabilir. Bu yaklaşım, saldırganın başka kullanıcıların kayıtlarına referans vermesini zorlaştırır. Ancak bu yöntem, yetki kontrolünün yerini tutmaz; onu tamamlar. İki katmanın birlikte kullanılması, savunmayı güçlendirir.

Erişim Kontrolüyle İlişkisi

Bu zafiyet, daha geniş bir erişim kontrolü sorununun özel bir biçimidir. Erişim kontrolü zafiyetleri, kullanıcıların yetkileri dışındaki verilere ya da işlevlere ulaşmasıyla ilgili tüm sorunları kapsar. Bu zafiyet, bu geniş kategorinin en yaygın ve en somut örneklerindendir. Bu nedenle savunması da genel erişim kontrolü ilkeleriyle uyumludur. Sağlam bir erişim kontrolü tasarımı, bu zafiyeti de kapsar.

Rol ve öznitelik temelli erişim modelleri, bu tür zafiyetlere karşı yapısal koruma sağlar. Kullanıcıların yetkilerinin net biçimde tanımlandığı modeller, kontrolün tutarlı uygulanmasını kolaylaştırır. Rol tabanlı erişim kontrolü bu yapısal yaklaşımın örneğidir. İyi tanımlı bir yetki modeli, hangi kullanıcının neye erişebileceğini açık kılar. Bu netlik, erişim kontrolünün eksiksiz uygulanmasına yardımcı olur.

Test ve Doğrulama

Zafiyetin tespiti, çoğunlukla manuel test gerektirir çünkü otomatik araçlar yetki bağlamını zor değerlendirir. Test uzmanı, farklı kullanıcı hesaplarıyla birbirlerinin kayıtlarına erişmeyi dener. Web uygulama sızma testi bu tür yetki atlama senaryolarını sistematik biçimde değerlendirir. Her tanımlayıcı taşıyan işlev, yetki kontrolü açısından ayrı ayrı sınanır. Böylece kontrolü eksik olan işlevler ortaya çıkarılır.

Bulgular, bir işlevin ötesinde tüm uygulamaya yansıtılmalıdır. Bir işlevde bulunan yetki eksikliği, benzer işlevlerde de olabilir. Bu nedenle tespit edilen zafiyet, sistematik bir erişim kontrolü gözden geçirmesini tetiklemelidir. Merkezî ve tutarlı bir yetki mekanizması, bu tür zafiyetlerin tekrarını kalıcı biçimde önler. Bütünsel bir yaklaşım, tekil düzeltmelerden daha kalıcıdır.

Tanımlayıcı Tasarımı

Tanımlayıcıların tasarımı, bu zafiyetin sömürülme kolaylığını etkiler. Sıralı ve tahmin edilebilir tanımlayıcılar, saldırganın diğer kayıtları kolayca denemesini sağlar. Tahmin edilemez tanımlayıcılar ise otomatik denemeyi zorlaştırarak riski azaltır. Ancak bu, yetki kontrolünün yerini tutan bir çözüm değildir; yalnızca ek bir engeldir. Asıl savunma her zaman her erişimde yapılan yetki kontrolü olmalıdır.

Tahmin edilemez tanımlayıcıların tek başına güvenlik sağladığını düşünmek, yaygın bir yanılgıdır. Bu tanımlayıcılar günlüklerde, adreslerde ya da paylaşılan bağlantılarda sızabilir. Bir kez sızan tanımlayıcı, yetki kontrolü yoksa doğrudan erişim sağlar. Bu nedenle gizlilik yoluyla güvenlik, güvenilir bir savunma değildir. Tanımlayıcının gizliliği, yetki kontrolünün yerine değil yanında değerlendirilmelidir.

Otomasyon Riski

Bu zafiyet, otomatik araçlarla sömürüldüğünde etkisi hızla büyür. Saldırgan, bir betikle tanımlayıcıları sırayla deneyerek kısa sürede çok sayıda kaydı toplayabilir. Bu toplu erişim, büyük çaplı bir veri ihlaline dönüşebilir. Bu nedenle savunma, tekil erişimleri değil ölçekli erişim girişimlerini de dikkate almalıdır. Hız sınırlama ve anormal erişim tespiti, bu tür toplu girişimleri yavaşlatabilir.

Anormal erişim desenlerinin izlenmesi de değerli bir tespit katmanıdır. Kısa sürede çok sayıda farklı kayda erişen bir hesap, şüpheli bir davranış sergiliyor olabilir. Bu tür desenlerin izlenmesi, bir sömürü girişiminin erken fark edilmesini sağlar. Log yönetimi altyapısı bu izlemeyi mümkün kılar. Böylece önleme başarısız olsa bile, tespit katmanı devreye girerek zararı sınırlar.

Kurumsal Yaklaşım

Bu zafiyetin kurumsal düzeyde önlenmesi, tutarlı bir erişim kontrolü kültürü gerektirir. Her geliştiricinin, her erişimde yetki kontrolü yapma alışkanlığını edinmesi gerekir. Bu alışkanlık, kod inceleme kontrol listeleri ve güvenli kodlama standartlarıyla desteklenmelidir. Güvenli kod gözden geçirme bu kontrolün tutarlı uygulandığını doğrular. Kurumsal bir yaklaşım, tekil düzeltmelerden daha kalıcı bir koruma sağlar.

Merkezî bir yetki mekanizması, bu kültürü teknik olarak destekler. Tüm erişimlerin geçtiği ortak bir yetki katmanı, kontrolün eksiksiz uygulanmasını kolaylaştırır. Bu yapı, her işlevde ayrı yetki mantığı yazma ihtiyacını ortadan kaldırır. Böylece hem tutarlılık sağlanır hem de insan hatası olasılığı azalır. Merkezîleştirilmiş erişim kontrolü, sürdürülebilir güvenliğin önemli bir bileşenidir.

Privia Security olarak erişim kontrolü ve yetkilendirme zafiyetlerinin tespitini düzenli zafiyet tarama kapsamında değerlendiriyoruz.