M

MLOG

Türkçe

JWT (JSON Web Token) güvenlik en iyi pratikleri üzerine kapsamlı bir rehber. Doğrulama, depolama, imzalama algoritmaları ve global uygulamalardaki yaygın zafiyetlere karşı stratejiler.

JWT Token'ları: Global Uygulamalar İçin Güvenlikte En İyi Pratikler

JSON Web Token'ları (JWT'ler), iki taraf arasında talepleri (claims) güvenli bir şekilde temsil etmek için standart bir yöntem haline gelmiştir. Kompakt yapıları, kullanım kolaylıkları ve çeşitli platformlarda geniş destek görmeleri, onları modern web uygulamalarında, API'lerde ve mikroservislerde kimlik doğrulama ve yetkilendirme için popüler bir seçenek yapmıştır. Ancak, yaygın olarak benimsenmeleri aynı zamanda artan bir incelemeye ve çok sayıda güvenlik zafiyetinin keşfedilmesine yol açmıştır. Bu kapsamlı rehber, global uygulamalarınızın güvende kalmasını ve potansiyel saldırılara karşı dirençli olmasını sağlamak için JWT güvenlik en iyi pratiklerini incelemektedir.

JWT'ler Nedir ve Nasıl Çalışır?

Bir JWT, üç bölümden oluşan JSON tabanlı bir güvenlik token'ıdır:

Bu üç bölüm, Base64 URL formatında kodlanır ve noktalarla (.) birleştirilerek nihai JWT dizesi oluşturulur. Bir kullanıcı kimliğini doğruladığında, sunucu bir JWT oluşturur; istemci bu token'ı (genellikle yerel depolamada veya bir çerezde) saklar ve sonraki isteklere dahil eder. Sunucu daha sonra isteği yetkilendirmek için JWT'yi doğrular.

Yaygın JWT Zafiyetlerini Anlamak

En iyi pratiklere geçmeden önce, JWT'ler ile ilişkili yaygın zafiyetleri anlamak kritik öneme sahiptir:

JWT Güvenliğinde En İyi Pratikler

JWT'ler ile ilişkili riskleri azaltmak için kapsamlı güvenlik en iyi pratikleri şunlardır:

1. Doğru İmzalama Algoritmasını Seçmek

İmzalama algoritması seçimi kritiktir. İşte dikkate alınması gerekenler:

Örnek: Anahtar Döndürme için JWKS Kullanımı

Bir JWKS uç noktası, JWT'leri doğrulamak için kullanılabilecek bir dizi genel anahtar sağlar. Sunucu anahtarları döndürebilir ve istemciler JWKS uç noktasını getirerek anahtar setlerini otomatik olarak güncelleyebilir.

/.well-known/jwks.json:

{
  "keys": [
    {
      "kty": "RSA",
      "kid": "key1",
      "alg": "RS256",
      "n": "...",
      "e": "AQAB"
    },
    {
      "kty": "RSA",
      "kid": "key2",
      "alg": "RS256",
      "n": "...",
      "e": "AQAB"
    }
  ]
}

2. JWT'leri Düzgün Bir Şekilde Doğrulamak

Düzgün doğrulama, saldırıları önlemek için esastır:

Örnek: Kodda Talepleri Doğrulama (Node.js ve jsonwebtoken ile)

const jwt = require('jsonwebtoken');

try {
  const decoded = jwt.verify(token, publicKey, {
    algorithms: ['RS256'],
    issuer: 'https://example.com',
    audience: 'https://myapp.com'
  });
  console.log(decoded);
} catch (error) {
  console.error('JWT doğrulaması başarısız oldu:', error);
}

3. İstemci Tarafında JWT'leri Güvenli Bir Şekilde Saklamak

JWT'lerin istemci tarafında nasıl saklandığı, güvenliği önemli ölçüde etkiler:

Örnek: HTTP-Only Çerezleri Ayarlama (Node.js ve Express ile)

app.get('/login', (req, res) => {
  // ... kimlik doğrulama mantığı ...
  const token = jwt.sign({ userId: user.id }, privateKey, { expiresIn: '15m' });
  const refreshToken = jwt.sign({ userId: user.id }, refreshPrivateKey, { expiresIn: '7d' });

  res.cookie('accessToken', token, {
    httpOnly: true,
    secure: true,  // Üretim ortamında true olarak ayarlayın
    sameSite: 'strict', // veya ihtiyacınıza göre 'lax'
    maxAge: 15 * 60 * 1000 // 15 dakika
  });

  res.cookie('refreshToken', refreshToken, {
    httpOnly: true,
    secure: true,  // Üretim ortamında true olarak ayarlayın
    sameSite: 'strict',
    maxAge: 7 * 24 * 60 * 60 * 1000 // 7 gün
  });

  res.send({ message: 'Giriş başarılı' });
});

4. Algoritma Karışıklığı Saldırılarına Karşı Korunma

Algoritma karışıklığı kritik bir zafiyettir. İşte bunu nasıl önleyeceğiniz:

Örnek: Algoritma Karışıklığını Önleme (Node.js ve jsonwebtoken ile)

const jwt = require('jsonwebtoken');

try {
  const decoded = jwt.verify(token, publicKey, {
    algorithms: ['RS256'] // Yalnızca RS256'ya açıkça izin ver
  });
  console.log(decoded);
} catch (error) {
  console.error('JWT doğrulaması başarısız oldu:', error);
}

5. Uygun Token Süre Sonu ve Yenileme Mekanizmalarını Uygulama

Token ömrü, önemli bir güvenlik konusudur:

6. Token Hırsızlığına Karşı Korunma

Token hırsızlığını önlemek çok önemlidir:

7. İzleme ve Günlük Kaydı

Etkili izleme ve günlük kaydı, güvenlik olaylarını tespit etmek ve müdahale etmek için esastır:

8. Hız Sınırlama (Rate Limiting)

Kaba kuvvet (brute-force) ve hizmet reddi (DoS) saldırılarını önlemek için hız sınırlaması uygulayın:

9. Güncel Kalmak

JWT Güvenliği İçin Global Hususlar

Global uygulamalar için JWT'leri uygularken aşağıdakileri göz önünde bulundurun:

Sonuç

JWT'ler, kimlik doğrulama ve yetkilendirmeyi yönetmek için kullanışlı ve verimli bir yol sunar, ancak aynı zamanda potansiyel güvenlik riskleri de içerirler. Bu en iyi pratikleri takip ederek, zafiyet riskini önemli ölçüde azaltabilir ve global uygulamalarınızın güvenliğini sağlayabilirsiniz. En son güvenlik tehditleri hakkında bilgi sahibi olmayı ve uygulamanızı buna göre güncellemeyi unutmayın. JWT yaşam döngüsü boyunca güvenliğe öncelik vermek, kullanıcılarınızı ve verilerinizi yetkisiz erişimden korumaya yardımcı olacaktır.