OWASP Top 10, web uygulamalarında en sık karşılaşılan ve en ciddi sonuçlar doğuran güvenlik risklerini derleyen, yazılım güvenliği alanında yaygın olarak başvurulan bir listedir. Liste belirli aralıklarla güncellenir ve risklerin sıralaması değişebilir; ancak temel kategoriler uzun süredir benzer kalmaktadır. Listenin değeri, soyut güvenlik kavramlarını somut hata türlerine dönüştürmesidir.
Bu yazıda listedeki başlıca risk kategorilerini, bir sigorta teklif platformunun gerçek kullanım senaryoları üzerinden ele alıyoruz. Amaç teknik bir kontrol listesi sunmak değil; bu risklerin acente yazılımında nasıl ortaya çıkabileceğini ve neden önemsendiğini anlaşılır kılmaktır.
Erişim kontrolünün kırılması
Listenin uzun süredir üst sıralarında yer alan bu risk, kullanıcının yetkisi olmayan veriye veya işleme erişebilmesidir. Teklif platformunda tipik bir örnek şudur: Bir kullanıcı kendi müşterisinin teklif detayını açarken adres çubuğundaki kayıt numarasını değiştirir ve başka bir şubenin müşterisine ait teklifi görüntüler. Sunucu, istenen kaydın bu kullanıcının erişim alanında olup olmadığını kontrol etmiyorsa, arayüzdeki tüm kısıtlamalar anlamsız hale gelir.
Önlem: Her istekte, istenen kaydın kullanıcının rolü, şubesi ve portföyüyle uyumlu olup olmadığı sunucu tarafında doğrulanmalıdır. Tahmin edilmesi zor kayıt kimlikleri yardımcı olur, ancak yetki kontrolünün yerini tutmaz.
Kriptografik hatalar
Hassas verinin şifrelenmemesi, zayıf algoritmalarla şifrelenmesi ya da anahtarların kötü yönetilmesi bu kategoriye girer. Bir teklif platformunda bu, şifresiz saklanan sigorta şirketi portal parolaları, eski protokollerle çalışan bağlantılar ya da düz metin olarak tutulan kullanıcı parolaları biçiminde görülebilir. Kullanıcı parolalarının geri döndürülemez ve tuzlanmış özetler olarak saklanması temel bir beklentidir.
Enjeksiyon
Kullanıcıdan gelen verinin doğrudan bir veritabanı sorgusuna, işletim sistemi komutuna ya da başka bir yorumlayıcıya aktarılmasıyla ortaya çıkar. Teklif formlarında plaka, kimlik numarası, adres ve araç bilgisi gibi çok sayıda girdi alanı bulunur. Bu alanlardan birine yerleştirilen özel karakterler, korumasız bir sorguda veritabanının tamamına erişim sağlayabilir. Aynı kategoride, kullanıcı girdisinin sayfaya kodlanmadan basılmasıyla ortaya çıkan siteler arası betik çalıştırma (XSS) da yer alır; örneğin müşteri notu alanına yazılan bir betiğin, notu görüntüleyen yöneticinin tarayıcısında çalışması.
Önlem: Parametreli sorgular, girdilerin beklenen biçime göre doğrulanması ve çıktıların bağlama uygun biçimde kodlanması.
Güvensiz tasarım
Bu kategori, uygulama kodundaki bir hatadan değil, tasarımın kendisindeki eksikliklerden doğar. Örneğin bir teklif sorgulama özelliğinin herhangi bir hız sınırı olmadan tasarlanması, kötü niyetli birinin bu özelliği sigorta şirketi servislerine yük bindirmek ya da kişisel bilgi toplamak için kullanmasına imkan tanır. Trafik, kasko ve DASK akışlarının her birinin farklı dış servislere bağlandığı düşünüldüğünde, her akış için ayrı kötüye kullanım senaryolarının tasarım aşamasında değerlendirilmesi gerekir.
Güvenlik yapılandırma hataları
Varsayılan parolaların değiştirilmemesi, gereksiz servislerin açık bırakılması, ayrıntılı hata mesajlarının kullanıcıya gösterilmesi ya da dosya depolama alanlarının herkese açık yapılandırılması bu kategoridedir. Teklif PDF'lerinin veya yüklenen ruhsat görüntülerinin tahmin edilebilir adreslerle ve kimlik doğrulaması olmadan erişilebilir olması, bu riskin acente yazılımındaki somut bir karşılığıdır.
Savunmasız ve güncelliğini yitirmiş bileşenler
Modern uygulamalar çok sayıda açık kaynak kütüphane kullanır. Bu kütüphanelerden birinde yayımlanan bir güvenlik açığı, güncelleme yapılmadığı sürece uygulamayı da etkiler. Bileşen envanterinin tutulması ve düzenli güncelleme, bu riskin temel önlemidir.
Kimlik doğrulama hataları
Parola deneme saldırılarına karşı koruma olmaması, zayıf parolalara izin verilmesi, oturum belirteçlerinin güvenli yönetilmemesi ve çok faktörlü doğrulamanın bulunmaması bu kategoriye girer. Acente yazılımında bir hesabın ele geçirilmesi, o hesabın erişebildiği tüm müşteri verisinin açığa çıkması anlamına geldiği için bu risk özellikle önemlidir.
Yazılım ve veri bütünlüğü hataları
Güncellemelerin, eklentilerin ya da dış kaynaklardan alınan verinin bütünlüğü doğrulanmadan kullanılmasıdır. Örneğin bir entegrasyondan gelen yanıtın değiştirilmiş olabileceği hiç düşünülmeden doğrudan işlenmesi ya da dağıtım sürecinin yetkisiz değişikliklere açık olması.
Güvenlik kaydı ve izleme eksiklikleri
Saldırıların fark edilmemesinin en yaygın nedenlerinden biri, yeterli kaydın tutulmaması ya da tutulan kayıtların izlenmemesidir. Başarısız girişler, yetki hataları ve olağan dışı veri erişimleri kayıt altına alınmalı ve düzenli olarak incelenmelidir.
Sunucu taraflı istek sahteciliği
Uygulamanın, kullanıcının verdiği bir adrese sunucu üzerinden istek göndermesiyle ortaya çıkar. Bir teklif platformunda dış bir adresten belge veya görsel çekme özelliği varsa, bu özellik iç ağdaki servislere erişmek için kötüye kullanılabilir. Önlem, sunucunun istek gönderebileceği adresleri izin listesiyle sınırlamaktır.
Teklif akışında bir istek, birden fazla risk
Bu kategoriler pratikte birbirinden ayrı durmaz. Tek bir kasko teklif isteği aynı anda birkaç riskle ilişkilidir: İsteği gönderen kullanıcının kimliği doğrulanmalı, istenen müşteri kaydının kullanıcının yetki alanında olduğu kontrol edilmeli, araç ve sürücü bilgileri beklenen biçime göre doğrulanmalı, sigorta şirketi servisine giderken kullanılan kimlik bilgisi güvenli biçimde alınmalı, dönen yanıt işlenmeden önce kontrol edilmeli ve işlem kayıt altına alınmalıdır. Aynı değerlendirme DASK akışında adres ve yapı bilgileri, trafik akışında ise plaka ve ruhsat bilgileri için ayrıca yapılır. Bu nedenle güvenlik incelemelerinde risk kategorilerini tek tek işaretlemek yerine, gerçek bir isteğin baştan sona yolculuğunu izlemek çok daha öğreticidir.
Listeyi doğru kullanmak
OWASP Top 10, eksiksiz bir güvenlik standardı değil, farkındalık belgesidir. Listedeki her maddenin kapsandığını söylemek, uygulamanın tamamen güvenli olduğu anlamına gelmez. Ancak bir yazılım ekibinin bu risklerin her biri için somut önlemlerini anlatabilmesi, güvenliğe ne kadar sistemli yaklaştığının iyi bir göstergesidir. Bir sigorta teklif programı değerlendirirken, sağlayıcıya bu kategorilere nasıl yaklaştığını sormak yerinde olur.
Riskleri tanımak, önlemeye başlamaktır
Web uygulaması güvenliği, bilinen hata türlerinin her yeni özellikte yeniden düşünülmesini gerektirir. Teklif platformları, yoğun kişisel veri ve çok sayıda dış entegrasyon barındırdığı için bu disiplinin en çok önem taşıdığı uygulamalar arasındadır. Acente yazılımımızın güvenlik yaklaşımı hakkında konuşmak için demo talebinde bulunabilirsiniz.