JSON Web Token, kimlik ve yetki bilgilerini imzalı biçimde taşıyan, yaygın kullanılan bir belirteç biçimidir. Bu belirteç, kullanıcı hakkında bilgileri kendi içinde taşır ve kriptografik olarak imzalanır. İmza, belirtecin bütünlüğünü ve kaynağını garanti eder. Sunucu, belirteci doğrulayarak kullanıcının kimliğini ve yetkilerini öğrenir. Bu tasarım, durumsuz kimlik doğrulamayı mümkün kılar.

Belirtecin değeri, durumsuz doğrulama sağlamasından gelir. Sunucu, her istekte belirteci doğrulayarak kullanıcıyı tanır ve ayrı bir oturum durumu tutmasına gerek kalmaz. Bu durumsuzluk, ölçeklenebilirlik açısından değerlidir. Belirteç, kendi içinde gereken tüm bilgiyi taşıdığı için sunucular arası paylaşımı kolaydır. Bu özellik, belirteci modern dağıtık mimarilerde yaygın kılar.

JSON Web Token Nedir?

JWT, kimlik ve yetki bilgilerini kendi içinde imzalı biçimde taşıyan, durumsuz kimlik doğrulama ve yetkilendirmede yaygın kullanılan bir belirteç biçimidir.

Belirteç, üç bölümden oluşur. İlk bölüm, belirtecin türünü ve imza yöntemini tanımlar. İkinci bölüm, kullanıcı hakkındaki bilgileri ve yetkileri taşır. Üçüncü bölüm ise ilk iki bölümün imzasıdır. Bu imza, belirtecin değiştirilmediğini ve güvenilir bir kaynaktan geldiğini garanti eder. Bu yapı, belirtecin hem bilgi taşımasını hem doğrulanmasını sağlar.

Nasıl Çalışır?

Kullanıcı kimliğini kanıtladığında, sunucu ona imzalı bir belirteç verir. Kullanıcı, sonraki her istekte bu belirteci gönderir. Sunucu, belirtecin imzasını doğrulayarak kullanıcıyı tanır ve isteğe izin verir. Bu süreç, sunucunun oturum durumu tutmasına gerek bırakmaz. Belirteç, kendi içinde gereken tüm bilgiyi taşıdığı için doğrulama bağımsızdır.

Belirtecin içeriği, imzalanmış olsa da gizli değildir. İçerik, imzayla korunur ama şifrelenmediği sürece okunabilir. Bu nedenle belirtece hassas bilgiler konmamalıdır. İmza yalnızca bütünlüğü garanti eder, gizliliği değil. Bu ayrımın anlaşılması, belirtecin doğru kullanımı için önemlidir.

• Üç bölümden oluşan yapı: başlık, veri ve imza
• İmzanın bütünlük ve kaynak garantisi
• Durumsuz doğrulama imkânı
• Belirteç içeriğinin imzalı ama şifresiz olması
• Hassas bilgilerin belirtece konmaması gereği

Güvenlik Riskleri

Belirtecin en bilinen riski, imza doğrulamanın yanlış yapılmasıdır. Bazı uygulamalar, imza yöntemini yanlış ele alarak sahte belirteçlerin kabul edilmesine yol açabilir. Algoritma karıştırma saldırıları, bu riski somut biçimde gösterir. Bu saldırı, imza doğrulamayı atlatarak yetkisiz erişim sağlayabilir. Bu nedenle imza yöntemi, sunucu tarafında katı biçimde belirlenmelidir.

İkinci risk, belirteç iptalinin zorluğudur. Durumsuz yapısı nedeniyle, verilmiş bir belirteç süresi dolana kadar geçerli kalır. Ele geçirilen bir belirteç, iptal edilmesi zor olduğu için risk oluşturur. Bu nedenle belirteçlerin geçerlilik süresi kısa tutulmalıdır. Belirteç iptal mekanizmaları, bu riski yönetmeye yardımcı olur.

İmza ve Şifreleme

Belirtecin güvenliği, büyük ölçüde imzasına dayanır. İmza, belirtecin içeriğinin değiştirilmediğini ve güvenilir bir kaynaktan geldiğini garanti eder. İmza, simetrik ya da açık anahtarlı yöntemlerle oluşturulabilir. Yöntem seçimi, belirtecin kullanım senaryosuna bağlıdır. Doğru imza yöntemi ve güvenli anahtar yönetimi, belirteç güvenliğinin temelidir.

İmzanın doğrulanması, belirteci kabul etmeden önce eksiksiz yapılmalıdır. Sunucu, imzayı güvenilir bir anahtarla ve beklenen yöntemle doğrulamalıdır. İmza yönteminin istemci tarafından belirlenmesine izin verilmemelidir. Bu izin, ciddi güvenlik açıklarına yol açar. İmza yönteminin sunucuda katı biçimde belirlenmesi, kritik bir savunmadır.

Belirteç şifrelenmediği sürece içeriği okunabilir olduğu için, hassas bilgiler belirtece konmamalıdır. İmza yalnızca bütünlüğü sağlar, gizliliği değil. Gizlilik gerektiğinde, belirteç ayrıca şifrelenmelidir. Ancak çoğu senaryoda, en iyi yaklaşım hassas bilgiyi belirteçte hiç taşımamaktır. Bu ilke, belirteç içeriğinin güvenli yönetimini sağlar.

Yaşam Döngüsü Yönetimi

Belirteçlerin yaşam döngüsü, güvenlik açısından dikkatle yönetilmelidir. Belirteçlerin geçerlilik süresi, hem güvenlik hem kullanılabilirlik açısından dengeli olmalıdır. Uzun süreli belirteçler, ele geçirildiğinde uzun süre kötüye kullanılabilir. Kısa süreli belirteçler ise daha güvenlidir ama daha sık yenileme gerektirir. Dengeli bir süre, güvenlik ve kullanılabilirliği birlikte korur.

Yenileme belirteçleri, kısa süreli erişim belirteçlerini tamamlar. Bir yenileme belirteci, süresi dolan erişim belirtecinin yenilenmesini sağlar. Bu yaklaşım, erişim belirteçlerinin kısa tutulmasını mümkün kılar. Ancak yenileme belirteçleri, daha uzun süreli olduğu için daha sıkı korunmalıdır. Yenileme belirteçlerinin güvenliği, sistemin bütününü etkiler.

İptal mekanizmaları, ele geçirilen belirteçlerin geçersiz kılınmasını sağlar. Durumsuz belirteçlerin iptali zor olduğu için, bu mekanizmalar özel dikkat gerektirir. Belirteç iptal mekanizmaları, bu zorluğu ele almaya yardımcı olur. İptal yeteneği, bir olay durumunda hızlı yanıt için gereklidir. İptal mekanizmaları, belirteç güvenliğinin önemli bir parçasıdır.

Privia Security olarak belirteç tabanlı kimlik doğrulama ve yetkilendirmenin güvenlik açısından değerlendirilmesini düzenli zafiyet tarama kapsamında ele alıyoruz.