Web siteleri ve uygulamalar, tam amaçlarını yerine getirmek için genellikle kullanıcı girişi gerektirir. Bir web sitesi kullanıcıların abone olmasına izin veriyorsa, kullanıcıların e-posta adreslerini verebilmeleri gerekir. Ve çevrimiçi alışveriş, açıkça ödeme ayrıntılarının girilmesini gerektirir.
Bununla birlikte, kullanıcı girişiyle ilgili sorun, bir bilgisayar korsanının web sitesini veya uygulamayı yanlış davranması için kandırmak amacıyla kötü amaçlı bir şey girmesine de izin vermesidir. Buna karşı korunmak için, kullanıcı girişi sunan herhangi bir sistemin giriş doğrulaması olması gerekir.
Peki girdi doğrulama nedir ve nasıl çalışır?
Giriş Doğrulama Nedir?
Girdi doğrulama, girdileri analiz etme ve uygun olmadığı düşünülenlere izin vermeme sürecidir. Girdi doğrulamanın ardındaki fikir, yalnızca belirli kriterleri karşılayan girdilere izin vererek, bir saldırganın sisteme zarar verecek şekilde tasarlanmış bir girdiye girmesinin imkansız hale gelmesidir.
Giriş doğrulama, kullanıcı girişlerine izin veren herhangi bir web sitesinde veya uygulamada kullanılmalıdır. Bir web sitesi veya uygulama herhangi bir gizli bilgi saklamasa bile geçersiz girişlere izin verilmesi kullanıcı deneyimi sorunlarına neden olabilir.
Girdi Doğrulaması Neden Önemlidir?
Girdi doğrulaması, kullanıcı deneyimi ve güvenlik olmak üzere iki nedenden dolayı önemlidir.
Kullanıcı deneyimi
Kullanıcılar genellikle bir web sitesine veya uygulamaya saldırmaya çalıştıkları için değil, bir hata yaptıkları için geçersiz girişler girer. Bir kullanıcı, bir kelimeyi yanlış yazabilir veya kullanıcı adını yanlış kutuya girmek veya eski bir şifreyi denemek gibi yanlış bilgiler sağlayabilir. Bu olduğunda, kullanıcıyı hatası hakkında bilgilendirmek için giriş doğrulama kullanılabilir ve bu da kullanıcının hatayı hızlı bir şekilde düzeltmesine olanak tanır.
Girdi doğrulama ayrıca, bir kullanıcının bilgilendirilmemesi ve dolayısıyla doğru girdinin sağlanmadığı halde doğru girdinin sağlandığına inanması nedeniyle kayıtların ve satışların kaybedildiği senaryoları da önler.
Güvenlik
Girdi doğrulama, bir web sitesine veya uygulamaya karşı gerçekleştirilebilecek çok çeşitli saldırıları önler. Bu siber saldırılar, kişisel bilgilerin çalınmasına neden olabilir, diğer bileşenlere yetkisiz erişime izin verebilir ve/veya bir web sitesinin/uygulamanın çalışmasını engelleyebilir.
Girdi doğrulamasının atlanması da kolayca tespit edilebilir. Saldırganlar, web sitelerine toplu olarak geçersiz girdiler girmek ve web sitelerinin nasıl tepki vereceğini belirlemek için otomatik programlar kullanabilir. Ardından, korunmayan tüm web sitelerine manuel saldırılar başlatabilirler.
Bu, giriş doğrulama eksikliğinin yalnızca önemli bir güvenlik açığı olmadığı anlamına gelir; bu genellikle bulunabilecek bir güvenlik açığıdır ve bu nedenle genellikle bilgisayar korsanlığına neden olabilir.
Giriş Doğrulama Saldırıları Nedir?
Girdi doğrulama saldırısı, bir kullanıcı girdi alanına kötü amaçlı girdi eklemeyi içeren herhangi bir saldırıdır. Farklı şeyler yapmaya çalışan birçok farklı türde giriş doğrulama saldırısı vardır.
Arabellek Taşması
Bir sisteme çok fazla bilgi eklendiğinde arabellek taşması meydana gelir. Giriş doğrulama kullanılmazsa, bir saldırganın istediği kadar bilgi eklemesini engelleyen hiçbir şey yoktur. buna denir tampon taşma saldırısı. Bir sistemin çalışmasının durmasına ve/veya halihazırda saklanan bilgilerin silinmesine neden olabilir.
SQL Enjeksiyonu
SQL enjeksiyonu, giriş alanlarına SQL sorguları ekleme işlemidir.. Bir web formuna bir SQL sorgusu ekleme veya bir URL'ye bir SQL sorgusu ekleme şeklinde olabilir. Amaç, sistemi sorguyu yürütmesi için kandırmaktır. SQL enjeksiyonu, güvenli verilere erişmek ve verileri değiştirmek veya silmek için kullanılabilir. Bu, girdi doğrulamanın, önemli bilgileri depolayan herhangi bir web sitesi veya uygulama için özellikle hayati olduğu anlamına gelir.
Siteler Arası Komut Dosyası Çalıştırma
Siteler arası komut dosyası oluşturma şunları içerir: kullanıcı giriş alanlarına kod ekleme. Genellikle saygın bir web sitesine ait bir URL'nin sonuna kod eklenerek gerçekleştirilir. URL, forumlar veya sosyal medya aracılığıyla paylaşılabilir ve daha sonra bir kurban tıkladığında kod çalıştırılır. Bu, saygın web sitesinde barındırılıyor gibi görünen kötü amaçlı bir web sayfası oluşturur.
Fikir şu ki, bir kurban hedef web sitesine güveniyorsa, ona ait gibi görünen kötü amaçlı bir web sayfasına da güvenmelidir. Kötü amaçlı web sayfası, tuş vuruşlarını çalmak, diğer sayfalara yönlendirmek ve/veya otomatik indirmeleri başlatmak için tasarlanabilir.
Girdi Doğrulaması Nasıl Uygulanır?
Girdi doğrulamanın uygulanması zor değildir. Geçersiz girişi önlemek için hangi kuralların gerekli olduğunu bulmanız ve ardından bunları sisteme eklemeniz yeterlidir.
Tüm Veri Girişlerini Yaz
Olası tüm kullanıcı girişlerinin bir listesini oluşturun. Bu, tüm kullanıcı formlarına bakmanızı ve URL parametreleri gibi diğer giriş türlerini göz önünde bulundurmanızı gerektirecektir.
Kural Oluştur
Tüm veri girişlerinin bir listesine sahip olduğunuzda, hangi girişlerin kabul edilebilir olduğunu belirleyen kurallar oluşturmalısınız. İşte uygulanması gereken birkaç genel kural.
- Beyaz listeye alma: Yalnızca belirli karakterlerin girilmesine izin verin.
- Kara listeye alma: Belirli karakterlerin girilmesini önleyin.
- Biçim: Yalnızca belirli bir biçime uyan girdilere izin verin, yani yalnızca e-posta adreslerine izin verin.
- Uzunluk: Yalnızca belirli bir uzunluğa kadar olan girişlere izin verin.
Uygulama Kuralları
Kuralları uygulamak için, web sitesine veya uygulamaya, bunlara uymayan herhangi bir girişi reddeden kod eklemeniz gerekecektir. Geçersiz girişlerin oluşturduğu tehdit nedeniyle, sistem canlıya geçmeden önce test edilmelidir.
Yanıt Oluştur
Giriş doğrulamanın kullanıcılara da yardımcı olmasını istediğinizi varsayarsak, hem bir girişin neden yanlış olduğunu hem de bunun yerine ne eklenmesi gerektiğini açıklayan mesajlar eklemelisiniz.
Girdi Doğrulaması Çoğu Sistem İçin Bir Gerekliliktir
Giriş doğrulama, kullanıcı girişine izin veren herhangi bir web sitesi veya uygulama için önemli bir gerekliliktir. Bir sisteme hangi girdilerin eklendiğini kontrol etmeyen bir saldırgan, bilgisayar korsanlığı amacıyla kullanılabilecek bir dizi tekniğe sahiptir.
Bu teknikler bir sistemi çökertebilir, değiştirebilir ve/veya özel bilgilere erişilmesine izin verebilir. Giriş doğrulaması olmayan sistemler, bilgisayar korsanları için popüler hedefler haline gelir ve internet sürekli olarak aranır.
Girdi doğrulama, öncelikle güvenlik amacıyla kullanılırken, kullanıcılara yanlış bir şey eklediklerinde bunu bildirmede de önemli bir rol oynar.
