SİBERSALDİRİ.COM · KONU ODAKLI DERS
Bu derste kazanacaklarınız
- Kimlik ile Politika arasındaki ilişkiyi açıklamak.
- “İzin kontrolü nerede yapılmalıdır?” sorusuna gerekçeli yanıt vermek.
- Örneği değiştirip beklenen ve gözlenen davranışı karşılaştırmak.
Çalışma mantığı ve güven sınırı
Politikayı kullanıcı, kaynak, işlem ve bağlam bileşenleriyle tanımlayın. Varsayılan ret uygulayın ve her giriş noktasında aynı merkezi kuralı kullanın. Yatay erişim başka kullanıcının kaydına, dikey erişim daha yüksek role ait işleve yöneliktir. Önbellek anahtarı bile kullanıcı kapsamını unutursa doğru kontrol sonrası yanlış kişiye veri dönebilir.
Açıklamalı örnek
Aşağıdaki parça kavramı görünür kılar. Komut veya kod içeren örnekleri üretim sisteminde değil, size ait ayrı deneme ortamında değerlendirin. Mimari şema ve politika örnekleri çalıştırılabilir program değildir.
function canRead(user, record):
return user.active AND record.ownerId == user.id
# İşlem, kayıt ve bağlam kuralları uygulamaya göre genişletilir.Beklenen sonuç ve yorumu
Kural sahipliği istemcinin iddiasından değil güvenilir oturum ve kayıt bilgisinden okur.
Karşılaştırmalı durumlar
| Durum | Beklenen yaklaşım | Neden? |
|---|---|---|
| Kendi kaydı | Politika uygunsa izin | Sahiplik doğrulanır |
| Başka kayıt | Ret | Yatay erişim engellenir |
| Genel önbellek | Kullanıcı kapsamını ayır | Kontrol sonrası sızıntı olabilir |
Uygulama görevi
Okuyucu, sahibi ve yönetici için okuma/yazma/silme matrisi hazırlayın.
- İşlemden önce beklenen sonucu ve kabul koşulunu yazın.
- Tek bir değişkeni değiştirin; gözlemi ve kullandığınız ortamı kaydedin.
- Sonucu yukarıdaki karşılaştırma tablosuyla değerlendirin. Uymayan durumda hangi varsayımın yanlış olabileceğini açıklayın.
Sık yapılan hata ve düzeltme yönü
Sadece menüyü veya butonu gizleyerek koruma sağlamaya çalışmayın.
Kendinizi sınayın
İzin kontrolü nerede yapılmalıdır?
Açıklamalı yanıt: İşlemin veriye ulaştığı sunucu katmanında, her ilgili istek ve nesne için yapılmalıdır.
İlgili derslerle ilerleyin
- IDOR: Kayıt kimliğini sahiplikle ilişkilendirme
- API güvenliği: Nesne, işlem ve alan yetkisi
- MFA güvenliği: Akışın bütün yollarını koruma
- Güvenli kodlama: Güven sınırına göre kontrol
Teknik başvuru
Bu dersin anlatımı ve örnekleri akademi için yeniden hazırlanmıştır. Aşağıdaki bağlantı, kullanılan teknoloji veya güvenlik yaklaşımının ayrıntılarını doğrulamak için teknik başvurudur.
