CSRF nedir?

CSRF saldırıları, web sitelerinin tarayıcı kimlik doğrulamasına (genellikle çerezlere - cookies) olan güvenini kötüye kullanır. Tarayıcınız, bir siteye giriş yaptığınızda sizi tanımak için bir "oturum çerezi" saklar. Siz o sitede aktifken başka bir sekmeye geçseniz bile, tarayıcınız her istekte o çerezi otomatik olarak gönderir. Saldırı Nasıl Gerçekleşir? Oturum: Siz banka hesabınıza giriş yaparsınız ve oturumu kapatmadan başka bir sekme açarsınız. Tuzak: Saldırganın hazırladığı kötü amaçlı bir web sitesine veya bir e-postadaki linke tıklarsınız. İstek: Bu tuzak site, arka planda sizin tarayıcınıza bankanızın sitesine gizli bir istek göndermesini söyler (Örn: "Parayı şu hesaba gönder"). Güven: Bankanızın sunucusu, tarayıcınız tarafından gönderilen "geçerli oturum çerezini" görür ve bu isteğin gerçekten sizin tarafınızdan yapıldığını sanarak işlemi onaylar. CSRF Hangi Alanları Tehdit Eder? CSRF, sadece bankacılık işlemleriyle sınırlı değildir. Oturum gerektiren her türlü web uygulamasında büyük riskler oluşturabilir: E-ticaret ve Finans: Kullanıcının rızası olmadan para transferi yapmak veya alışveriş sepetini onaylamak. Sosyal Medya: Kullanıcının haberi olmadan durum paylaşmak, birini takip etmek veya mesaj göndermek. Hesap Yönetimi: Kullanıcının e-posta adresini veya şifresini değiştirerek hesabı tamamen ele geçirmek. İdari Paneller (Admin Panels): Bir web sitesinin yöneticisini bir bağlantıya tıklatıp, siteye yeni bir yönetici kullanıcı eklemek veya içerikleri silmek. Nasıl Korunulur? Web geliştiricileri bu saldırıyı önlemek için çeşitli yöntemler kullanır: Anti-CSRF Token: En yaygın yöntemdir. Her form için sunucu tarafından oluşturulan, tahmin edilmesi imkansız, tek kullanımlık bir kod (token) üretilir. Saldırgan bu kodu bilmediği için sahte isteği oluşturamaz. SameSite Cookie Niteliği: Çerezlerin sadece oluşturuldukları site üzerinden gönderilmesini, dış sitelerden tetiklenen isteklerde çerezin gönderilmemesini sağlar. Kullanıcı Etkileşimi: Kritik işlemlerden (para gönderme, şifre değiştirme) önce tekrar şifre, 2FA kodu veya CAPTCHA istemek.

Siber Saldırılar