OpenID Connect, yaygın bir yetkilendirme protokolü üzerine kurulu, kullanıcının kimliğini güvenli biçimde doğrulayan bir kimlik katmanıdır. Alttaki yetkilendirme protokolü, bir uygulamanın neye erişebileceğini belirlerken, bu katman kullanıcının kim olduğunu belirler. Bu ekleme, yetkilendirme protokolünü tam bir kimlik doğrulama çözümüne dönüştürür. Kullanıcı, bir kez kimliğini kanıtlayarak birden çok uygulamada doğrulanabilir. Bu yaklaşım, modern tek oturum açma senaryolarının temelini oluşturur.

Protokolün değeri, kimlik doğrulamayı standart ve güvenli hâle getirmesidir. Kimlik doğrulamayı her uygulamanın kendi başına uygulaması, tutarsızlıklara ve risklere açıktır. Bu protokol, kimlik doğrulamayı standart bir biçime kavuşturur. Bu standartlaşma, hem güvenliği hem birlikte çalışabilirliği artırır. Bu nedenle protokol, modern kimlik altyapılarında yaygın olarak kullanılır.

OpenID Connect Nedir?

OpenID Connect, bir yetkilendirme protokolü üzerine kurulu, kullanıcının kimliğini standart ve güvenli biçimde doğrulayan bir kimlik katmanı protokolüdür.

Protokol, alttaki yetkilendirme protokolüne bir kimlik belirteci ekler. Bu belirteç, kullanıcının kimliğini ve doğrulama bilgilerini taşır. Uygulama, bu belirteci doğrulayarak kullanıcının kim olduğunu güvenilir biçimde öğrenir. Bu kimlik belirteci, protokolün en belirleyici unsurudur. Belirtecin doğru doğrulanması, protokolün güvenliğinin temelidir.

OAuth’tan Farkı

Temel fark, protokolün amacındadır. Alttaki yetkilendirme protokolü, erişim yetkisi vermeye odaklanır ve kullanıcının kimliğini kanıtlamak için tasarlanmamıştır. Yetkilendirme protokolü, tek başına kimlik doğrulama için yeterli değildir. Bu katman ise kimlik doğrulamayı standart biçimde ekler. Bu ekleme, iki protokolü tam bir çözüme birleştirir.

Bu ayrım, güvenlik açısından önemlidir. Yalnızca yetkilendirme protokolünü kimlik doğrulama için kullanmak, çeşitli risklere yol açar. Bu katman, bu amaç için özel olarak tasarlandığı için güvenli doğrulama sağlar. Bu nedenle kimlik doğrulama gerektiğinde, doğru protokol kullanılmalıdır. Doğru protokol seçimi, güvenli kimlik doğrulamanın ön koşuludur.

• Yetkilendirme protokolüne kimlik doğrulama katmanı ekler
• Kimlik belirteciyle kullanıcının kimliğini taşır
• Standart ve güvenli kimlik doğrulama sağlar
• Modern tek oturum açma senaryolarının temeli
• Yetkilendirme ile kimlik doğrulamayı doğru biçimde ayırır

Güvenli Kullanım

Protokolün güvenli kullanımı, kimlik belirtecinin doğru doğrulanmasıyla başlar. Belirtecin imzası, geçerliliği ve hedefi eksiksiz kontrol edilmelidir. Bu kontrollerdeki bir eksiklik, sahte belirteçlerin kabul edilmesine yol açabilir. Belirteç doğrulama, bu bağlamda kritik bir güvenlik adımıdır. Kapsamlı doğrulama, protokolün güvenliğinin temelidir.

Ayrıca belirteçlerin güvenli iletimi ve saklanması gerekir. Bir kimlik belirteci ele geçirilirse, saldırgan kullanıcının kimliğine bürünebilir. Bu nedenle belirteçler, güvenli bir bağlantı üzerinden iletilmeli ve güvenli saklanmalıdır. Belirteçlerin geçerlilik süresi de sınırlı tutulmalıdır. Bu önlemler, belirteç güvenliğini güçlendirir.

Kimlik Belirteci

Kimlik belirteci, protokolün en belirleyici unsurudur ve kullanıcı hakkında doğrulanmış bilgiler taşır. Bu belirteç, kullanıcının kimliğini, doğrulama zamanını ve çeşitli özelliklerini içerir. Uygulama, bu belirteci doğrulayarak kullanıcının kim olduğunu güvenilir biçimde öğrenir. Belirtecin imzalı olması, içeriğinin değiştirilmediğini garanti eder. Bu belirteç, kimlik doğrulamanın somut kanıtını sağlar.

Kimlik belirteci, çoğu zaman standart bir belirteç biçiminde taşınır. Belirteç biçimi, bu bilgilerin yapılandırılmış ve imzalı biçimde iletilmesini sağlar. Bu standart biçim, belirtecin farklı sistemler arasında tutarlı biçimde işlenmesini mümkün kılar. Belirtecin doğru doğrulanması, protokolün güvenliğinin temelidir. Doğrulama, imza, geçerlilik ve hedef kontrollerini kapsamalıdır.

Kimlik ve erişim belirteçleri farklı amaçlara hizmet eder. Kimlik belirteci kullanıcının kimliğini kanıtlarken, erişim belirteci kaynaklara erişim yetkisi sağlar. Bu iki belirtecin karıştırılması, güvenlik risklerine yol açabilir. Bu nedenle her belirteç, kendi amacına uygun biçimde kullanılmalıdır. Belirteç türlerinin doğru ayrımı, güvenli uygulamanın önemli bir parçasıdır.

Yaygın Kullanım Senaryoları

Protokol, modern web ve mobil uygulamalarda tek oturum açma için yaygın kullanılır. Kullanıcılar, tek bir kimlikle birden çok uygulamada doğrulanabilir. Tek oturum açma, çoğu zaman bu protokolle uygulanır. Bu senaryo, hem kullanıcı deneyimini hem güvenliği iyileştirir. Yaygın kullanım, protokolü modern kimlik altyapısında merkezî kılar.

Protokol, sosyal giriş senaryolarında da yaygın kullanılır. Kullanıcılar, mevcut bir kimlik sağlayıcı hesabıyla farklı uygulamalara giriş yapabilir. Bu yaklaşım, kullanıcıların yeni hesap açma yükünü azaltır. Ancak bu kolaylık, kimlik sağlayıcıya olan bağımlılığı da artırır. Bu bağımlılık, güvenlik açısından değerlendirilmelidir.

Kurumsal ortamlarda protokol, merkezî kimlik yönetimini destekler. Çalışanlar, kurumsal kimlikleriyle çeşitli uygulamalara erişebilir. Bu merkezîleşme, güvenlik politikalarının tutarlı uygulanmasını sağlar. Ayrıca erişimler merkezî olarak yönetilebilir. Bu kurumsal kullanım, protokolün değerini pekiştirir.

Privia Security olarak kimlik doğrulama protokollerinin ve kimlik altyapısının güvenlik açısından değerlendirilmesini altyapı ve mimari gözden geçirme kapsamında ele alıyoruz.