Siteler arası istek sahteciliği, kullanıcının oturum kimliğini kötüye kullanarak onun adına istem dışı işlemler yaptırmaya dayanan bir saldırıdır. Kullanıcı bir uygulamada oturum açmışken, tarayıcısı o uygulamaya yaptığı isteklere otomatik olarak oturum bilgisini ekler. Saldırgan, kurbanı kandırarak tarayıcısının bu uygulamaya gizli bir istek göndermesini sağlayabilir. Uygulama isteği meşru sanarak işleyebilir çünkü geçerli bir oturum bilgisi taşır. Böylece kullanıcı, haberi olmadan bir işlem gerçekleştirmiş olur.

Saldırının inceliği, saldırganın oturum bilgisini hiç görmeden işlem yaptırabilmesidir. Saldırgan, kullanıcının kimlik bilgilerini çalmaz; yalnızca tarayıcının otomatik davranışını kullanır. Bu nedenle saldırı, kimlik hırsızlığından farklı bir mantığa dayanır. Kurbanın yalnızca hazırlanmış bir bağlantıya ya da sayfaya erişmesi yeterli olabilir. Bu dolaylı yöntem, saldırıyı özellikle sinsi hâle getirir.

CSRF Nedir?

CSRF, kullanıcının aktif oturumunu kötüye kullanarak, tarayıcısının onun adına istem dışı ve yetkili istekler göndermesine dayanan bir saldırıdır.

Saldırının etkisi, hedef işlevin önemine göre değişir. Bir ayar değişikliği, para transferi ya da hesap bilgisi güncellemesi, kullanıcının haberi olmadan gerçekleşebilir. Özellikle durum değiştiren işlemler bu saldırının başlıca hedefidir. Yalnızca veri okuyan işlemler ise genellikle bu saldırıdan daha az etkilenir. Bu nedenle savunma, öncelikle durum değiştiren işlevlere odaklanır.

Nasıl Önlenir?

En yaygın önlem, her durum değiştiren isteğe özel bir doğrulama belirteci eklemektir. Bu belirteç, sunucu tarafından üretilir ve yalnızca meşru sayfalarda bulunur. Saldırganın hazırladığı sahte istek bu belirteci içermediği için sunucu tarafından reddedilir. Bu yöntem, sahte istekleri meşru olanlardan ayırmanın güvenilir bir yoludur. Doğru uygulandığında, saldırının temel mekanizmasını etkisiz kılar.

İkinci önlem, oturum çerezlerinin siteler arası gönderimini sınırlamaktır. Çerezler, yalnızca aynı siteden gelen isteklerde gönderilecek biçimde işaretlenebilir. Bu işaret, saldırganın başka bir siteden tetiklediği isteklere oturum bilgisinin eklenmesini engeller. Böylece saldırının dayandığı otomatik davranış kısıtlanmış olur. Bu önlem, modern tarayıcılarda etkili bir savunma katmanı sağlar.

• Durum değiştiren isteklere özel doğrulama belirteci eklenmesi
• Oturum çerezlerinin siteler arası gönderiminin sınırlanması
• Kritik işlemlerde ek doğrulama istenmesi
• İstek kaynağının sunucu tarafında denetlenmesi
• Durum değiştiren işlemlerin güvenli yöntemlerle yapılması

İlişkili Riskler

Bu saldırı, betik çalıştırma zafiyetiyle birleştiğinde çok daha tehlikeli hâle gelir. Bir betik çalıştırma zafiyeti, doğrulama belirteci temelli savunmayı atlatmayı mümkün kılabilir. Bu nedenle iki zafiyet birlikte değerlendirilmelidir. Betik çalıştırmaya karşı güçlü savunma, bu saldırının savunmasını da destekler. İki alanın birlikte ele alınması, savunmayı bütünsel hâle getirir.

Kritik işlemlerde ek doğrulama da değerli bir katmandır. Para transferi ya da önemli ayar değişiklikleri gibi işlemler, kullanıcıdan ek onay isteyebilir. Bu ek adım, otomatik tetiklenen bir sahte isteğin tamamlanmasını engeller. Böylece en yüksek riskli işlemler ekstra korunmuş olur. Katmanlı bir yaklaşım, tek bir savunmanın atlatılması durumunda bile koruma sağlar.

Doğrulama Belirteci Nasıl Çalışır?

Doğrulama belirteci temelli savunma, saldırının temel varsayımını çürütür. Bu yöntemde sunucu, her oturum ya da her form için tahmin edilemez bir belirteç üretir. Bu belirteç, yalnızca meşru sayfada bulunur ve her durum değiştiren istekle birlikte gönderilir. Saldırganın hazırladığı sahte istek bu belirteci bilemeyeceği için sunucu tarafından reddedilir. Böylece meşru ve sahte istekler güvenilir biçimde ayırt edilir.

Belirtecin güvenliği, tahmin edilemez ve gizli kalmasına bağlıdır. Belirteç öngörülebilir olursa ya da bir zafiyetle sızarsa, savunma etkisini yitirir. Bu nedenle belirteçler güçlü bir rastgelelikle üretilmeli ve yalnızca meşru sayfalarda bulunmalıdır. Ayrıca oturum güvenliği ile birlikte değerlendirilmelidir. Belirtecin güvenliği, tüm savunmanın dayandığı temeldir.

Modern Tarayıcı Korumaları

Modern tarayıcılar, bu saldırıya karşı ek koruma mekanizmaları sunar. Çerezlerin siteler arası gönderimini sınırlayan işaretler, saldırının temel mekanizmasını doğrudan hedef alır. Bu işaretler etkinleştirildiğinde, başka bir siteden tetiklenen isteklere oturum bilgisi eklenmez. Böylece saldırının dayandığı otomatik davranış büyük ölçüde engellenir. Bu koruma, doğrulama belirteci savunmasını güçlü biçimde tamamlar.

Ancak tarayıcı korumaları, tek başına yeterli bir savunma olarak görülmemelidir. Eski tarayıcılar ya da belirli yapılandırmalar bu korumaları uygulamayabilir. Bu nedenle sunucu tarafı savunmalar her zaman öncelikli olmalıdır. Tarayıcı korumaları, bu savunmaları destekleyen ek bir katman olarak konumlandırılır. Katmanlı yaklaşım, tek bir mekanizmanın eksikliğinde bile koruma sağlar.

Test ve Doğrulama

Zafiyetin tespiti, durum değiştiren tüm işlevlerin incelenmesini gerektirir. Her form ve her önemli işlem, doğrulama belirteci koruması açısından denetlenmelidir. Web uygulama sızma testi bu noktaları sistematik biçimde değerlendirir. Belirteç eksik ya da zayıf uygulanmış işlevler, bu test sırasında ortaya çıkar. Böylece korumasız kalan işlemler tespit edilerek giderilir.

Kod incelemesi de bu savunmanın tutarlı uygulandığını doğrular. Yeni eklenen işlevlerin doğrulama belirteci korumasını atlaması sık görülen bir hatadır. Güvenli kod gözden geçirme bu tutarsızlıkları erken yakalar. Böylece koruma, tüm işlevlerde eksiksiz biçimde uygulanır. Sistematik denetim, savunmanın zamanla zayıflamasını önler.

Privia Security olarak oturum güvenliği ve istek sahteciliği zafiyetlerinin tespitini düzenli zafiyet tarama kapsamında değerlendiriyoruz.