OAuth 2.0, bir uygulamanın kullanıcının parolasını görmeden, onun adına sınırlı erişim almasını sağlayan bir yetkilendirme protokolüdür. Kullanıcı, bir uygulamaya başka bir hizmetteki verilerine erişim yetkisi vermek istediğinde bu protokol devreye girer. Kullanıcı parolasını uygulamaya vermek yerine, hizmet üzerinden sınırlı bir erişim yetkisi verir. Uygulama, bu yetkiyle yalnızca izin verilen kaynaklara erişebilir. Bu yaklaşım, parola paylaşımının risklerini ortadan kaldırır.

Protokolün önemi, modern web ve mobil uygulamalardaki yaygın kullanımından gelir. Uygulamalar arası veri paylaşımı ve üçüncü taraf erişimi, çoğu zaman bu protokolle sağlanır. Bu yaygınlık, protokolü modern kimlik altyapısının temel bir bileşeni yapar. Ancak protokolün doğru anlaşılması ve güvenli uygulanması, çeşitli riskleri önlemek için kritiktir. Bu nedenle protokolün güvenlik boyutu özel dikkat gerektirir.

OAuth 2.0 Nedir?

OAuth 2.0, bir uygulamanın kullanıcının parolasını görmeden, onun adına belirli kaynaklara sınırlı erişim almasını sağlayan bir yetkilendirme protokolüdür.

Protokolün temel amacı, yetkilendirmedir, kimlik doğrulama değil. Yetkilendirme, bir uygulamanın neye erişebileceğini belirler; kimlik doğrulama ise kullanıcının kim olduğunu belirler. Bu ayrım önemlidir çünkü protokol, tek başına kullanıcının kimliğini kanıtlamak için tasarlanmamıştır. Bu amaç için, protokolün üzerine kurulu ek katmanlar kullanılır. Bu ayrımın anlaşılması, protokolün doğru kullanımı için gereklidir.

Nasıl Çalışır?

Kullanıcı, bir uygulamaya başka bir hizmetteki verilerine erişim yetkisi vermek istediğinde, hizmete yönlendirilir. Kullanıcı, hizmette kimliğini kanıtlar ve uygulamaya vereceği erişimi onaylar. Hizmet, uygulamaya sınırlı bir erişim belirteci verir. Uygulama, bu belirteçle yalnızca izin verilen kaynaklara erişir. Bu süreç, kullanıcının parolasını uygulamaya hiç iletmeden yetkilendirmeyi sağlar.

Erişim belirteci, protokolün merkezî unsurudur. Bu belirteç, uygulamanın hangi kaynaklara ne kadar süreyle erişebileceğini belirler. Belirtecin kapsamı, kullanıcının onayladığı yetkilerle sınırlıdır. Erişim belirteçleri, çoğu zaman bu amaçla kullanılan bir biçimdir. Belirtecin güvenli yönetimi, protokolün güvenliğinin temelini oluşturur.

• Kullanıcının parolasını uygulamaya vermeden yetki vermesi
• Hizmetin uygulamaya sınırlı erişim belirteci vermesi
• Belirtecin kapsamının onaylanan yetkilerle sınırlı olması
• Uygulamanın yalnızca izin verilen kaynaklara erişmesi
• Yetkilendirme ile kimlik doğrulamanın ayrılması

Güvenlik Riskleri

Protokolün önemli bir riski, onay ekranlarının kötüye kullanılmasıdır. Saldırgan, kullanıcıyı kandırarak zararlı bir uygulamaya erişim yetkisi vermesini sağlayabilir. Onay ekranı kimlik avı bu riski somut biçimde gösterir. Kullanıcı, farkında olmadan verilerine erişim izni verebilir. Bu nedenle onay süreçleri, kullanıcıyı doğru bilgilendirecek biçimde tasarlanmalıdır.

İkinci risk, erişim belirteçlerinin ele geçirilmesidir. Bir belirteç ele geçirilirse, saldırgan onun kapsamındaki kaynaklara erişebilir. Bu nedenle belirteçler, güvenli biçimde iletilmeli ve saklanmalıdır. Ayrıca belirteçlerin geçerlilik süresi sınırlı tutulmalıdır. Kısa süreli belirteçler, ele geçirilmenin etkisini azaltır.

Yetki Akışları

Protokol, farklı senaryolar için çeşitli yetki akışları tanımlar. Bu akışlar, uygulamanın türüne ve güvenlik ihtiyacına göre seçilir. Sunucu tabanlı uygulamalar için güvenli bir akış, mobil ve tek sayfalık uygulamalar için ise farklı bir akış uygundur. Her akışın kendine özgü güvenlik değerlendirmeleri vardır. Doğru akış seçimi, protokolün güvenli kullanımının temelidir.

Modern uygulamalar için önerilen akış, ek koruma katmanları içerir. Bu koruma, yetki kodunun ele geçirilmesi durumunda bile kötüye kullanımı önler. Eski ve güvensiz akışlardan kaçınılması, güncel güvenlik önerilerinin bir parçasıdır. Bu nedenle akış seçiminde güncel öneriler izlenmelidir. Güvenli akış seçimi, protokolün bilinen risklerini azaltır.

Yanlış akış seçimi, ciddi güvenlik risklerine yol açabilir. Bir uygulama türü için uygun olmayan bir akış, belirteçlerin ele geçirilmesine olanak tanıyabilir. Bu nedenle akış, uygulamanın gerçek yapısına göre dikkatle seçilmelidir. Güncel olmayan akışlar, kullanımdan kaldırılmalıdır. Doğru akış, güvenli yetkilendirmenin ön koşuludur.

Kapsam ve İzin Yönetimi

Protokolün önemli bir güvenlik özelliği, kapsam yönetimidir. Kapsam, bir uygulamanın hangi kaynaklara ne kadar erişebileceğini belirler. Uygulamalara, yalnızca gerçekten ihtiyaç duydukları kapsam verilmelidir. Aşırı geniş kapsam, bir uygulamanın ele geçirilmesi durumunda etkiyi büyütür. En az ayrıcalık ilkesi, kapsam yönetiminde de geçerlidir.

Verilen izinlerin düzenli gözden geçirilmesi de gereklidir. Kullanıcılar zamanla çeşitli uygulamalara erişim izni verir ve bunlar birikir. Uygulama onaylarının denetimi, bu birikmiş izinlerin yönetilmesini sağlar. Artık kullanılmayan ya da riskli izinler kaldırılmalıdır. Düzenli izin denetimi, erişim yüzeyini dar tutar.

İzinlerin kullanıcıya açık biçimde sunulması, bilinçli onay sağlar. Kullanıcı, bir uygulamaya neye erişim verdiğini net biçimde görmelidir. Belirsiz ya da yanıltıcı onay ekranları, kötüye kullanıma açık kapı bırakır. Bu nedenle onay ekranları, şeffaf ve anlaşılır olmalıdır. Şeffaf onay, kullanıcının bilinçli karar vermesini sağlar.

Belirteç Güvenliği

Erişim belirteçlerinin güvenliği, protokolün en kritik yönlerinden biridir. Belirteçler, güvenli bir bağlantı üzerinden iletilmeli ve güvenli biçimde saklanmalıdır. Ele geçirilen bir belirteç, kapsamındaki kaynaklara yetkisiz erişim sağlar. Bu nedenle belirteçlerin geçerlilik süresi kısa tutulmalıdır. Belirteç iptal mekanizmaları, ele geçirilen belirteçlerin geçersiz kılınmasını sağlar.

Privia Security olarak yetkilendirme protokollerinin ve kimlik altyapısının güvenlik açısından değerlendirilmesini altyapı ve mimari gözden geçirme kapsamında ele alıyoruz.