Oturum çalma, kimliği doğrulanmış bir kullanıcının oturumuna ait belirtecin ele geçirilerek saldırganın o kullanıcı yerine geçmesidir. Parolayı bilmeye gerek yoktur; oturum belirteci tek başına yeterlidir. Bu nedenle çok faktörlü doğrulama uygulanmış bir hesap bile, belirteç çalındığında korunmasız kalabilir. Saldırı, kimlik doğrulama adımını tamamen atlar.

Belirteç genellikle bir çerez içinde taşınır, ancak yerel depolamada tutulan bir jeton ya da URL içine yerleştirilmiş bir kimlik de aynı işlevi görebilir. Nerede tutulduğu, hangi saldırı yollarının mümkün olduğunu belirler. Bu nedenle oturum yönetimi tasarımı, uygulama güvenliğinin en kritik başlıklarından biridir.

Oturum Çalma Nedir?

Oturum çalma, kimlik doğrulaması tamamlanmış bir kullanıcının oturum belirtecinin ele geçirilerek yetkisiz kişi tarafından kullanılması ve böylece kullanıcı adına işlem yapılmasıdır.

Saldırı, oturumun geçerli olduğu süre boyunca etkilidir. Belirtecin ömrü uzunsa saldırgan da uzun süre erişim sağlar; kısa ömürlü ve sık yenilenen belirteçler ise pencereyi daraltır. Bu nedenle oturum ömrü, kullanılabilirlik ile güvenlik arasında bilinçli olarak dengelenir.

Kurumsal ortamda saldırının en sık görülen sonucu, tek oturum açma altyapısı üzerinden birden çok uygulamaya erişimdir. Tek oturum açma kullanılan ortamlarda çalınan tek bir belirteç, birbirine bağlı tüm uygulamaları açabilir. Bu durum kolaylık ile risk arasındaki dengeyi görünür kılar.

Belirteç Nasıl Ele Geçirilir?

En yaygın yol, uç noktadaki bir zararlı yazılımın tarayıcı verilerini okumasıdır. Tarayıcının çerez deposuna erişebilen bir kod, tüm açık oturumları toplayabilir. Bu yöntem, ağ üzerinde hiçbir iz bırakmadığı için tespiti zordur. Saldırganların son yıllarda giderek daha çok tercih ettiği yol budur.

İkinci yol, uygulama katmanındaki zafiyetlerdir. Siteler arası betik çalıştırma zafiyeti bulunan bir sayfada çalıştırılan betik, uygun koruma yoksa çerezi okuyup saldırgana gönderebilir. Bu nedenle çerez bayrakları doğru ayarlanmalıdır.

Üçüncü yol ağ katmanıdır. Şifrelenmemiş ya da doğrulaması zayıf bağlantılarda araya giren bir taraf belirteci yakalayabilir. Modern web uygulamalarında bu yol büyük ölçüde kapanmış olsa da, iç ağlarda ve eski sistemlerde hâlâ görülür.

• Uç noktadaki zararlı yazılımın tarayıcı çerez deposunu okuması
• Betik çalıştırma zafiyetiyle çerezin dışarı sızdırılması
• Şifresiz ya da hatalı doğrulanan bağlantıda trafiğin dinlenmesi
• Oturum kimliğinin URL içinde taşınması ve kayıtlara düşmesi
• Oturum sabitleme: saldırganın belirlediği kimliğin kullanıcıya kabul ettirilmesi
• Paylaşılan ya da halka açık cihazlarda oturumun kapatılmaması

Oturum Sabitleme Nedir?

Oturum sabitleme, saldırganın önceden bildiği bir oturum kimliğini kullanıcıya kabul ettirmesidir. Kullanıcı bu kimlikle giriş yaptığında, saldırgan aynı kimliği kullanarak doğrulanmış oturuma erişir. Saldırı, giriş sırasında oturum kimliğinin yenilenmediği uygulamalarda mümkündür.

Önlem basittir: kimlik doğrulama başarılı olduğunda oturum kimliği mutlaka yeniden üretilmelidir. Aynı şekilde yetki seviyesi değiştiğinde de yenileme yapılır. Bu tek kural, saldırı türünü tamamen ortadan kaldırır.

Nasıl Önlenir?

İlk önlem çerez bayraklarının doğru ayarlanmasıdır. Belirteci taşıyan çerez yalnızca şifreli bağlantıda gönderilmeli, betiklerden okunamamalı ve siteler arası isteklerde kısıtlanmalıdır. Bu üç ayar, saldırı yollarının önemli bölümünü kapatır ve maliyeti yoktur.

İkinci önlem oturum ömrünün sınırlanmasıdır. Hem mutlak bir süre sınırı hem de hareketsizlik zaman aşımı tanımlanmalıdır. Kritik işlemler öncesinde yeniden doğrulama istenmesi, çalınan bir belirtecin en zararlı işlemleri yapmasını engeller.

Üçüncü önlem bağlam denetimidir. Oturumun açıldığı cihaz, ağ ve tarayıcı bilgisiyle sonraki isteklerin karşılaştırılması, belirteç başka bir ortamda kullanıldığında uyarı üretilmesini sağlar. Bu kontrol katı uygulandığında meşru kullanıcıları da etkileyebileceği için risk temelli ayarlanır.

Tespit Yöntemleri

Tespitin en pratik yolu, aynı oturumun kısa süre içinde çok farklı konumlardan kullanılmasının izlenmesidir. Coğrafi olarak imkânsız erişim örüntüleri güçlü bir işarettir. Bu kural, kimlik sağlayıcısı kayıtları üzerinden kolayca yazılabilir.

İkinci yöntem, cihaz ve tarayıcı parmak izindeki ani değişikliklerin izlenmesidir. Aynı oturumun farklı bir tarayıcı sürümüyle kullanılması, belirtecin kopyalandığını gösterebilir. Bu sinyaller tek başına kesin değildir; birlikte değerlendirildiğinde güvenilirlik artar.

Üçüncü yöntem, oturum sonlandırma kabiliyetinin hazır tutulmasıdır. Şüphe durumunda ilgili kullanıcının tüm oturumlarının merkezî olarak sonlandırılabilmesi gerekir. Bu yetenek, olay anında en hızlı sonuç veren müdahaledir.

Oturum Belirteci Nerede Saklanmalı?

Belirtecin nerede saklandığı, hangi saldırı yollarının açık kaldığını doğrudan belirler. Çerezde saklanan bir belirteç, uygun bayraklarla betiklerden korunabilir; yerel depolamada tutulan bir belirteç ise betiklerin erişimine her koşulda açıktır.

Yerel depolama tercih edildiğinde, sayfada çalışan herhangi bir üçüncü taraf betiği belirteci okuyabilir. Reklam, analitik ya da destek widget’ı gibi bileşenler bu riski taşır. Bu nedenle hassas uygulamalarda yerel depolama önerilmez.

Bellekte tutulan ve sayfa yenilendiğinde kaybolan belirteçler en dar saldırı yüzeyini sunar, ancak kullanıcı deneyimi açısından ek tasarım gerektirir. Yenileme belirtecinin ayrı ve daha korunaklı biçimde saklanması bu ihtiyacı karşılar.

Mobil uygulamalarda ise platformun sunduğu güvenli anahtar deposu kullanılır. Uygulama dosyaları içinde düz metin olarak saklanan belirteçler, cihaz ele geçirildiğinde doğrudan okunabilir.

Belirteç Ömrü ve Yenileme Tasarımı

İyi bir tasarımda erişim belirteci kısa ömürlüdür ve yenileme belirteci ile tazelenir. Kısa ömür, çalınan belirtecin kullanılabileceği pencereyi daraltır ve saldırganın işini zorlaştırır.

Yenileme belirteçlerinin tek kullanımlık olması ek koruma sağlar. Aynı yenileme belirtecinin ikinci kez kullanılması, kopyalandığına işaret eder ve tüm oturum ailesinin iptal edilmesini tetikler.

Bu tasarım, JSON Web Token kullanan uygulamalarda özellikle önemlidir. İmzalı belirteçler sunucuda saklanmadığı için, iptal mekanizması ayrıca kurgulanmadığında süresi dolana kadar geçerli kalırlar.

Merkezî bir iptal listesi ya da kısa ömür artı yenileme yaklaşımı, bu boşluğu kapatan iki yaygın yöntemdir. Hangisinin seçileceği, uygulamanın ölçeğine ve gecikme toleransına göre belirlenir.

Çıkış İşlemi Doğru Tasarlanmalı

Kullanıcının çıkış yapması, belirtecin gerçekten geçersiz kılınması anlamına gelmelidir. Yalnızca istemci tarafında çerezi silen bir çıkış işlemi, kopyalanmış bir belirtecin geçerliliğini etkilemez.

Bu nedenle çıkış isteği sunucuya iletilir ve oturum sunucu tarafında sonlandırılır. Tek oturum açma kullanılan ortamlarda, kimlik sağlayıcısındaki oturumun da kapatılması gerekir.

Kullanıcıya tüm cihazlardan çıkış yapma seçeneği sunulması da faydalıdır. Şüphe duyan kullanıcının kendi başına harekete geçebilmesi, müdahale süresini kısaltır.

Parola değişikliği ve doğrulama yöntemi güncellemesi gibi işlemlerde de mevcut oturumların sonlandırılması beklenir. Aksi hâlde parola değiştirilse bile saldırganın erişimi sürer.

Privia Security olarak uygulamaların oturum yönetimi tasarımınıdüzenli zafiyet tarama hizmeti ve uygulama testleri kapsamında inceliyor, sömürülebilir bulguları önceliklendirilmiş biçimde raporluyoruz.