Derinlemesine: API Güvenliği Temelleri

API'lar modern yazılımın bağlayıcı dokusu olup, mobil uygulamalar, mikro hizmetler ve üçüncü taraf entegrasyonları güçlendirir. Uygulama mantığını ve verileri doğrudan açığa çıkardıkları için API'lar saldırganların en sevdiği hedef haline gelmiştir. API güvenliği, bu arayüzleri tasarlama, test etme ve kötüye kullanıma karşı savunma disiplinidir.

API'ları Farklı Kılan Nedir

Geleneksel web sayfalarından farklı olarak, API'lar JSON veya XML gibi yapılandırılmış veri biçimleriyle iletişim kurar ve sıklıkla minimum insan gözetimi altında çalışır. Bu şu anlama gelir:

• Uç nokta başına daha geniş saldırı yüzeyi — her API rotası, kendi kimlik doğrulaması, doğrulaması ve iş mantığı olan özünde kendi mini-uygulamasıdır.
• Makine-makine güveni — hizmetler sıklıkla bir isteğin geçerli bir token'ı varsa meşru olduğunu varsayar ve saldırganlar bunu token hırsızlığı veya yeniden oynatma yoluyla istismar eder.
• Hızlı değişim — API'lar hızlı gelişir ve belgelenmemiş veya kullanımdan kaldırılmış "gölge" uç noktaları sıklıkla güvenlik incelemelerinden geçer.

Yaygın Güvenlik Açığı Sınıfları

OWASP API Güvenliği Top 10, üretim sistemlerinde görülen en yaygın sorunları yakalar:

• Bozuk Nesne Düzeyi Yetkilendirmesi (BOLA) — bir kullanıcı, sunucu sahipliği doğrulamayı başaramadığı için istekteki bir ID'yi değiştirerek başka bir kullanıcının verilerine erişebilir.
• Bozuk Kimlik Doğrulama — zayıf token işleme, tahmin edilebilir oturum tanımlayıcıları veya giriş uç noktalarında eksik hız sınırlaması.
• Aşırı Veri Açıklanması — API'lar tam veritabanı nesneleri döndürür ve hassas alanları filtrelemeyi istemciye bırakır.
• Kaynaklar ve Hız Sınırlaması Eksikliği — hiçbir kısıtlama olmadan saldırganlar kimlik bilgilerini kaba kuvvetle saldırabilir veya arka uç kaynaklarını tüketebilir.
• Bozuk İşlev Düzeyi Yetkilendirmesi — rol kontrolleri eksik veya tutarsız olduğu için normal kullanıcılar yalnızca yöneticiye özgü uç noktalara erişebilir.
• Toplu Atama — istemci tarafından sağlanan alanları (örneğin isAdmin) filtreleme yapmadan doğrudan veritabanı modellerine kabul etme.
• Güvenlik Yanlış Yapılandırması — ayrıntılı hata iletileri, açığa çıkan hata ayıklama uç noktaları veya eksik güvenlik başlıkları.
• Enjeksiyon — sanitize edilmemiş giriş, SQL, NoSQL veya komut tercümanlarına API parametreleri aracılığıyla ulaştırılması.

Kimlik Doğrulama ve Yetkilendirme Temelleri

Kimlik doğrulama API'ı çağıranın kimliğini onaylar; yetkilendirme ne yapabileceklerini onaylar. Güçlü API güvenliği, her istekte her iki katmanın da bağımsız olarak uygulanmasını gerektirir:

• OAuth 2.0 veya OpenID Connect gibi endüstri standardı protokollerini kullanın; özel token şemasından kaçının.
• JWT'leri düzgün bir şekilde doğrulayın — imzayı, sona erme süresini, yayıncı ve hedef kitleyi kontrol edin; asla imzalanmamış veya alg: none token'ına güvenmeyin.
• Sunucu tarafında nesne düzeyi kontrolleri uygulayın: bir kaynak ID'sine atıfta bulunan her istek, çağıranın bu kaynağın sahibi olduğunu veya haklarının olduğunu doğrulamalıdır.
• API anahtarları ve hizmet hesapları için en az ayrıcalık ilkesini uygulayın; geniş erişim vermek yerine bunları dar kapsamda kullanın.

Giriş Doğrulaması ve Çıkış Kontrolü

Her API parametresini — başlıklar, sorgu dizeleri ve iç içe JSON alanları dahil — güvenilmeyen girdi olarak değerlendirin:

• Şema doğrulaması (örneğin JSON Şeması veya OpenAPI tabanlı doğrulayıcılar) kullanarak veri türlerini, uzunluklarını ve biçimlerini doğrulayın.
• Seri durumdan çıkarma sırasında beklenen alanlar için izin listelerini kullanarak toplu atama saldırılarını önleyin.
• Bir istemcinin gerçekte ihtiyaç duyduğu alanları döndürün; yanıtlardaki tüm iç nesneleri dökmekten kaçının.
• Hata yanıtlarını standartlaştırın; böylece yığın izleri, iç yollar veya veritabanı ayrıntılarını sızmayın.

Hız Sınırlaması, İzleme ve Günlüğe Kaydetme

İyi kimlik doğrulaması yapılmış API'lar bile kötüye kullanım desenlerine karşı korunmaya ihtiyaç duyar:

• Kaba kuvvet ve kazıma denemelerini zayıflatmak için kullanıcı başına ve IP başına hız sınırlaması uygulayın.
• Kimlik doğrulama olaylarını, yetkilendirme başarısızlıklarını ve sıradışı erişim desenlerini daha sonraki analiz için günlüğe kaydedın.
• Hassas uç noktalara isteklerdeki ani artışlar veya beklenmedik coğrafyalardan erişim gibi anormallikler açısından izleyin.
• Doğru bir API envanterini tutun — var olduğunu bilmediğiniz şeyi güvenleği sağlayamazsınız; bu nedenle kullanımdan kaldırılmış veya gölge uç noktalarını izleyin ve emekli edin.

Pratik Test Yaklaşımları

API'ları güvenleştirmek tek seferlik bir denetim değil, devam eden bir işlemdir:

• API'ya özgü araçları (Postman koleksiyonları gibi güvenlik tarayıcılarıyla eşleştirilmiş) CI/CD işlem hatlarına dahil edin.
• Yetkilendirme kusurlari için manuel test yapın; otomatik tarayıcılar sıklıkla BOLA ve iş mantığı sorunlarını kaçırır.
• API belgelerini (OpenAPI/Swagger özellikleri) uygulamayla senkronize tutun; test sırasında kör noktaları önleyin.
• Üçüncü taraf API entegrasyonlarını kendi kodunuzla aynı titizlikle gözden geçirin; çünkü tehlikeye atılmış bir ortak API saldırı vektörü olabilir.

Kapanış Düşünceleri

API güvenliği, klasik web uygulaması güvenliği ilkelerini ölçekte makine-makine iletişiminin benzersiz zorlukları ile karıştırır. Yetkilendirmeyi doğru yapmak, her girişi doğrulamak ve API yüzeyinize karşı görünürlüğü korumak, esnek bir savunmanın temelidir.

Bu kavramların daha derin, uygulamalı bir anlayışını geliştirmek için Korra Studio'daki web uygulaması güvenliği ve kimlik doğrulama tasarımı ile ilgili segmentleri keşfedin.