PHP'de CSRF Koruması Nasıl Yapılır? Form Güvenliği İçin Token Kullanımı
Web uygulamalarında kullanıcıların hesap bilgilerini, profil ayarlarını veya diğer kişisel verilerini yönetebilmesi için çeşitli formlar ve işlem mekanizmaları kullanılır. Ancak bu işlemlerin yalnızca oturum açmış kullanıcılar tarafından gerçekleştirilebilmesi her zaman yeterli bir güvenlik önlemi değildir. Bazı saldırı yöntemlerinde saldırgan, kullanıcının haberi olmadan onun mevcut oturumundan yararlanarak web sitesine istek gönderilmesini sağlayabilir. Cross-Site Request Forgery, yani CSRF, bu tür saldırıların en bilinen örneklerinden biridir. PHP ile geliştirilen uygulamalarda CSRF koruması özellikle hesap işlemleri, yönetim panelleri, ödeme süreçleri ve veri değiştiren formlar açısından büyük önem taşır.CSRF Saldırısı Nedir?
CSRF, saldırganın bir kullanıcının tarayıcısını kullanarak o kullanıcının oturum açmış olduğu web uygulamasına istemediği bir işlem yaptırmasıdır. Bu saldırının temelinde tarayıcıların belirli koşullarda hedef siteye ait oturum çerezlerini otomatik olarak göndermesi bulunur. Kullanıcı bir web sitesinde oturumunu açık bırakmışsa ve başka bir sitedeki zararlı içerik üzerinden hedef uygulamaya istek gönderilirse, tarayıcı bu isteğe mevcut oturum bilgilerini ekleyebilir.Örneğin bir kullanıcının internet bankacılığı hesabında oturumunun açık olduğunu düşünelim. Kullanıcı daha sonra saldırgan tarafından hazırlanmış bir sayfayı ziyaret ettiğinde, bu sayfa bankacılık uygulamasına istek göndermeye çalışabilir. Uygulama yalnızca oturum çerezini kontrol ediyor ve işlemin gerçekten kullanıcı tarafından başlatıldığını doğrulamıyorsa istenmeyen bir işlem gerçekleştirilebilir. Bu nedenle oturum doğrulaması ile istek doğrulaması birbirinden farklı güvenlik kontrolleridir.
CSRF Saldırısı Nasıl Çalışır?
CSRF saldırısının gerçekleşebilmesi için genellikle kullanıcının hedef uygulamada aktif bir oturumunun bulunması ve uygulamanın isteklerin kaynağını yeterince doğrulamaması gerekir. Saldırgan, hedef sistemde belirli bir işlem gerçekleştiren bir isteğin yapısını öğrenerek kullanıcıyı bu isteği göndermeye yönlendirmeye çalışabilir.Özellikle parola değiştirme, e-posta adresi güncelleme veya yönetim panelinde kayıt silme gibi işlemler riskli olabilir. Kullanıcı başka bir sayfayı ziyaret ederken tarayıcısı hedef siteye ait çerezleri otomatik olarak gönderirse uygulama isteği oturum açmış kullanıcıdan gelmiş gibi değerlendirebilir. Buradaki temel problem, isteğin gerçekten kullanıcının bilinçli etkileşimi sonucunda oluşturulup oluşturulmadığının kontrol edilmemesidir.
PHP CSRF Token Nedir?
CSRF Token, bir formun veya veri değiştiren isteğin gerçekten uygulama tarafından oluşturulan geçerli bir işlem akışına ait olduğunu doğrulamak amacıyla kullanılan benzersiz bir değerdir. Bu değer genellikle sunucu tarafında oluşturulur ve kullanıcı oturumuyla ilişkilendirilir. Form sayfası hazırlanırken token gizli bir alan içerisinde tarayıcıya gönderilir. Kullanıcı formu gönderdiğinde aynı değer tekrar sunucuya iletilir ve sunucu tarafında oturumla ilişkilendirilmiş değerle karşılaştırılır.Token değerinin tahmin edilmesi zor olmalı ve güvenli rastgele sayı üretimiyle oluşturulmalıdır. Ayrıca farklı kullanıcıların token değerleri birbirinden bağımsız olmalıdır. Böylece saldırganın başka bir kullanıcının geçerli token değerini bilmeden onun adına işlem gerçekleştirmesi zorlaştırılır. Token yalnızca var olduğu için değil, sunucuda saklanan geçerli değerle eşleştiği için kabul edilmelidir.
PHP'de CSRF Token Nasıl Oluşturulur?
PHP uygulamalarında CSRF token oluşturulurken güvenli rastgele sayı üretimi sağlayan yerleşik mekanizmalardan yararlanılabilir. Token oluşturma işlemi genellikle kullanıcının oturumu başlatıldıktan sonra gerçekleştirilir ve ilgili değer oturum içerisinde saklanır.Token üretiminde tahmin edilebilir değerler kullanılmamalıdır. Kullanıcı adı, tarih, IP adresi veya basit bir sayaç üzerinden oluşturulan değerler güvenli bir CSRF token yerine geçmez. Rastgelelik kalitesi yüksek bir değer oluşturulmalı ve bu değer yeterli uzunlukta olmalıdır. Token'ın yaşam süresi de uygulamanın ihtiyaçlarına göre belirlenebilir.
Bir form sayfası açıldığında sunucuda bulunan token, formun gizli alanına yerleştirilir. Form gönderildiğinde gelen değer kontrol edilir. Token bulunmuyorsa, beklenen biçimde değilse veya oturumdaki değerle eşleşmiyorsa işlem reddedilmelidir. Bu kontrol yalnızca kullanıcı arayüzünde değil, mutlaka sunucu tarafında gerçekleştirilmelidir.
PHP Formlarında CSRF Token Kontrolü Nasıl Yapılır?
Bir PHP formunun CSRF saldırılarına karşı korunabilmesi için formun oluşturulması ve işlenmesi aşamalarının birlikte ele alınması gerekir. Form görüntülenirken geçerli token sunucu tarafından oluşturulmalı veya mevcut oturumdan alınmalıdır. Form gönderildiğinde ise sunucu gelen token değerini kontrol etmelidir.Özellikle veri değiştiren işlemlerde token doğrulaması tamamlanmadan veritabanı üzerinde herhangi bir değişiklik yapılmamalıdır. Örneğin bir kullanıcı profil bilgilerini güncellemek istediğinde önce oturum kontrolü, ardından CSRF doğrulaması ve sonrasında ilgili alanların geçerlilik kontrolü gerçekleştirilmelidir. Bu sıralama, güvenlik kontrollerinin işlemden sonra yapılması gibi hataların önüne geçer.
Token doğrulamasının başarısız olması durumunda kullanıcıya işlemin gerçekleştirilemediğini bildiren genel bir mesaj sunulabilir. Teknik ayrıntıların veya oturumda saklanan token değerlerinin ziyaretçiye gösterilmesi doğru değildir. Ayrıca başarısız istekler güvenlik günlüklerine kaydedilerek olası saldırı girişimleri takip edilebilir.
PHP'de Session Kullanarak CSRF Koruması Nasıl Sağlanır?
PHP session mekanizması, kullanıcıya ait oturum verilerinin sunucu tarafında saklanmasını sağlar. CSRF token sistemlerinde session kullanılması yaygın bir yaklaşımdır. Sunucu, kullanıcıya özel token değerini oturum içerisinde saklayarak daha sonra gelen isteklerde bu değeri doğrulayabilir.Burada session güvenliğinin de doğru yapılandırılması gerekir. Oturum kimliklerinin tahmin edilmesi veya ele geçirilmesi durumunda CSRF korumasının etkinliği azalabilir. Bu nedenle HTTPS kullanılması, güvenli çerez ayarlarının yapılması ve oturum kimliğinin gerektiğinde yenilenmesi önemlidir.
Ayrıca kullanıcı oturumu sona erdiğinde ilgili token değerinin de geçersiz hâle gelmesi sağlanmalıdır. Oturum yönetimi ile CSRF korumasının birlikte tasarlanması, uygulamanın genel güvenlik seviyesini artırır.
SameSite Cookie CSRF Koruması Sağlar mı?
SameSite, tarayıcıların çerezleri farklı site bağlamlarında hangi koşullarda göndereceğini belirleyen bir çerez özelliğidir. Bu özellik, bazı siteler arası isteklerde oturum çerezlerinin gönderilmesini sınırlandırarak CSRF riskinin azaltılmasına yardımcı olur.SameSite=Lax ayarı, birçok uygulamada kullanışlı bir denge sunar. SameSite=Strict daha sıkı bir yaklaşım sağlar ancak bazı kullanıcı deneyimi senaryolarını etkileyebilir. SameSite=None kullanıldığında ise çerezin güvenli bağlantı üzerinden gönderilmesi gerekir. Hangi ayarın kullanılacağı uygulamanın oturum ve yönlendirme ihtiyaçlarına göre belirlenmelidir.
SameSite tek başına bütün CSRF saldırılarına karşı yeterli kabul edilmemelidir. Özellikle hassas işlemlerde token doğrulaması ve gerektiğinde Origin veya Referer başlıklarının kontrolü gibi ek önlemler değerlendirilmelidir.
CSRF ile XSS Arasındaki Fark Nedir?
CSRF ve XSS birbirinden farklı güvenlik açıklarıdır. CSRF saldırısında temel amaç, kullanıcının mevcut oturumundan yararlanarak onun adına istenmeyen bir işlem gerçekleştirmektir. XSS saldırısında ise saldırgan, uygulamaya zararlı istemci tarafı içerik yerleştirerek bu içeriğin başka kullanıcıların tarayıcılarında çalışmasını sağlamaya çalışır.CSRF saldırıları genellikle istek doğrulamasındaki eksikliklerden kaynaklanırken XSS saldırıları kullanıcı girdilerinin güvenli olmayan biçimde işlenmesiyle ilişkilidir. Bu iki saldırı türü farklı güvenlik önlemleri gerektirir. CSRF token kullanılması XSS açığını ortadan kaldırmaz. Aynı şekilde çıktı kaçış işlemlerinin uygulanması da tek başına CSRF koruması sağlamaz.
PHP Uygulamalarında CSRF Hangi İşlemlerde Önlenmelidir?
CSRF koruması özellikle sunucu tarafında veri değiştiren işlemlerde kullanılmalıdır. Kullanıcı bilgilerinin güncellenmesi, parola değiştirme, hesap silme, sipariş oluşturma, ödeme başlatma ve yönetim panelinde kayıt düzenleme gibi işlemler bu kapsamdadır.Yalnızca veri görüntüleyen GET istekleri üzerinden durum değiştirilmesi de güvenlik açısından doğru bir yaklaşım değildir. GET istekleri bağlantılar, tarayıcı ön yüklemeleri veya başka otomatik mekanizmalar tarafından tetiklenebilir. Bu nedenle veri değiştiren işlemlerde uygun HTTP yöntemleri ve CSRF doğrulaması kullanılmalıdır.
Ayrıca uygulamanın AJAX veya Fetch API üzerinden gerçekleştirdiği istekler de unutulmamalıdır. Form kullanılmaması, CSRF riskinin ortadan kalktığı anlamına gelmez. İstemci tarafındaki isteklerde de sunucu tarafından doğrulanabilecek güvenilir bir token mekanizması bulunmalıdır.
PHP Projelerinde CSRF Güvenlik Testi Nasıl Yapılır?
CSRF güvenlik testi sırasında uygulamadaki veri değiştiren bütün uç noktalar belirlenmeli ve bu uç noktaların hangi doğrulamalardan geçtiği incelenmelidir. Token gönderilmeden yapılan isteklerin, geçersiz token içeren isteklerin ve farklı bir oturumdan alınmış token değerlerinin kabul edilip edilmediği kontrol edilmelidir.Testler sırasında yalnızca normal kullanıcı işlemlerine değil, yönetici yetkisi gerektiren işlemlere de dikkat edilmelidir. Ayrıca uygulamanın mobil istemciler, AJAX istekleri ve üçüncü taraf entegrasyonları üzerinden gerçekleştirdiği işlemler değerlendirilmelidir.
Güvenlik testlerinin yetkili olunan ortamlarda yapılması ve test verilerinin gerçek kullanıcı işlemlerini etkilememesi gerekir. Özellikle ödeme ve hesap silme gibi geri alınması zor işlemler için ayrı test ortamı kullanılması önemlidir.
