Cross-Site Request Forgery (CSRF) Nedir ve Nasıl Korunuruz?

Web dünyasında her gün yeni güvenlik açıkları ve tehditler ortaya çıkıyor. Bunlardan biri, çoğu zaman gözden kaçan ama son derece tehlikeli olan Cross-Site Request Forgery (CSRF) saldırılarıdır. Bu yazımızda, CSRF nedir, nasıl çalışır ve bu tür saldırılara karşı nasıl korunabileceğimizden bahsedeceğiz.

Bir sabah, bankanızın sitesine giriş yaptığınızı hayal edin. İşlerinizi hallettiniz, hesap bakiyenizi kontrol ettiniz, belki de bir transfer işlemi yapıyorsunuz. Ama farkında olmadığınız bir şey var. Bilgisayarınızda açık olan başka bir sekme, sizi fark ettirmeden bankanızın sitesine, sizin adınıza bir işlem gönderiyor. Bu işlem, belki de bankanızda bir para transferi yapmayı amaçlayan bir saldırı olabilir. İşte buna Cross-Site Request Forgery (CSRF) denir.

CSRF, kötü niyetli bir kullanıcının, sizin kimlik bilgilerinizi kullanarak, güvenli bir web sitesine sahte istekler göndermesini sağlar. Basitçe söylemek gerekirse, saldırgan, sizin bilginiz olmadan ve sizin tarayıcınızda oturum açmışken, bir web sitesine işlem yapmanızı sağlar. Bu saldırının en tehlikeli yönü, kullanıcının yetkilendirilmiş olduğu bir işlem yapılmasını sağlamasıdır.

CSRF saldırısının nasıl işlediğini daha iyi anlamak için birkaç adımda örnek bir senaryo üzerinden ilerleyelim:

1. Sahte İstek Gönderimi: Saldırgan, sizin bankanızda oturum açtığınızı bilmektedir. Ancak, bankaya ait hiçbir şüpheli siteye erişimi yoktur. O zaman ne yapar? Sizi, bankanın web sitesindeki bir işlemi (mesela para transferi) gerçekleştirecek şekilde kandıran bir web sayfası tasarlar.

2. Kullanıcıdan Bilgi Almak: Siz, hiç şüphe duymadan saldırganın hazırladığı zararlı sayfaya tıklarsınız. Burada fark etmediğiniz şey, bu sayfa aslında bankanızın web sitesine, sizin adına, bir para transferi işlemi gönderiyor.

3. İşlem Başarıyla Gerçekleşiyor: Sizin banka hesabınızda herhangi bir değişiklik olmadan, saldırgan istediği işlem gerçekleşmiş olur.

Görünüşte basit bir işlem gibi ama oldukça tehlikeli. Özellikle oturum açmış kullanıcılar için büyük risk oluşturur çünkü kullanıcıyı, yetkili olduğu bir işlemde yanıltmak oldukça kolaydır.

Evet, CSRF oldukça tehlikeli olabilir ama iyi haber şu ki, korunmak mümkün. İşte bu tür saldırılardan korunmak için uygulayabileceğiniz bazı yöntemler:

Kod Örneği:

Kod Örneği:

Set-Cookie: sessionid=abcd1234; SameSite=Strict; Secure

#### 4. Çift Onaylı İşlemler
Özellikle önemli işlemler için, çift onaylı işlemler (double-confirmation) eklemek etkili olabilir. Kullanıcının gerçekleştirmek istediği işlemi, bir onay penceresi veya SMS doğrulaması ile onaylatmak, CSRF saldırılarının etkisini azaltır.

Cross-Site Request Forgery (CSRF) saldırıları, internet kullanıcıları için ciddi bir tehdit oluştursa da, alınacak basit önlemlerle önlenebilir. Web geliştiricileri, token kullanımı, SameSite çerez politikası ve başlık doğrulama gibi önlemleri alarak uygulamalarını güvence altına alabilir. Her zaman dikkatli olmak, kullanıcılar için güvenli bir internet deneyimi sunmanın anahtarıdır.

Unutmayın, bir web geliştiricisi olarak en önemli görevimiz, kullanıcılarımızın güvenliğini sağlamaktır. CSRF gibi saldırılara karşı korunmak, sadece daha güvenli bir site yapmakla kalmaz, aynı zamanda kullanıcılarımızın güvenini kazanmak demektir.