ASP ile CSRF Saldırılarını Önleme Yöntemleri

Cross-Site Request Forgery (CSRF), web uygulamalarında yaygın olarak karşılaşılan bir güvenlik açığıdır. ASP (Active Server Pages) tabanlı uygulamalar da bu tür saldırılara karşı savunmasız olabilir. Bu makalede, ASP ile CSRF saldırılarını önlemek için kullanılabilecek teknikleri detaylı bir şekilde ele alacağız. ASP uygulamalarınızda güvenliği artırmak için bu yöntemleri nasıl uygulayabileceğinizi öğreneceksiniz.

CSRF Saldırısı Nedir?

CSRF saldırısı, bir kullanıcının tarayıcısında oturum açtığı bir web uygulamasına, saldırganın kendi kontrolündeki bir kaynaktan istek göndermesiyle gerçekleşir. Kullanıcı, kötü niyetli bir bağlantıya tıkladığında veya bir sayfayı ziyaret ettiğinde, bu istekler kullanıcı adına gerçekleştirilir ve kullanıcı farkında olmadan uygulama üzerinde istenmeyen işlemler yapılabilir.

CSRF Saldırılarını Önlemenin Temel Yöntemleri

1. CSRF Token Kullanımı

CSRF token’ları, her form gönderimi için benzersiz bir token oluşturulmasını ve bu token’ın sunucu tarafında doğrulanmasını sağlar. Bu yöntem, saldırganın geçerli bir token oluşturamaması nedeniyle CSRF saldırılarını önlemede etkilidir.

CSRF Token Oluşturma ve Doğrulama

ASP ile CSRF token oluşturmak ve doğrulamak için aşağıdaki adımları izleyebilirsiniz:

1. Token Oluşturma: Her oturum için benzersiz bir CSRF token oluşturun ve bunu oturum değişkeninde saklayın.

1. Token Ekleme: Formlara gizli bir alan olarak bu token’ı ekleyin.
   

3. Token Doğrulama: Form gönderildiğinde, sunucu tarafında token’ı doğrulayın.

<%
' CSRF token oluşturma
Function GenerateCSRFToken()
    GenerateCSRFToken = Session.SessionID & "-" & CStr(Timer)
    Session("CSRFToken") = GenerateCSRFToken
End Function

' Form sayfasında token'ı ekleme
Dim csrfToken
csrfToken = GenerateCSRFToken()
%>

    
    
    

Bu kod, her oturum için benzersiz bir CSRF token oluşturur ve formda gizli bir alan olarak ekler.

<%
' Token doğrulama
Dim submittedToken
submittedToken = Request.Form("csrfToken")

If submittedToken <> Session("CSRFToken") Then
    Response.Write("Geçersiz CSRF token!")
    Response.End()
End If
%>

Bu kod, gönderilen token’ı oturumda saklanan token ile karşılaştırarak doğrular. Eğer token geçersizse, işlem durdurulur.

2. Referer Başlığı Kontrolü

Referer başlığı, isteğin hangi sayfadan geldiğini belirtir. CSRF saldırılarını önlemek için, isteğin beklenen bir kaynaktan gelip gelmediğini kontrol edebilirsiniz. Ancak, bu yöntem her zaman güvenilir değildir çünkü referer başlığı kullanıcı tarafından değiştirilebilir veya bazı durumlarda hiç gönderilmeyebilir.

<%
Dim referer
referer = Request.ServerVariables("HTTP_REFERER")

If InStr(referer, "https://www.ornek.com") = 0 Then
    Response.Write("Geçersiz istek kaynağı!")
    Response.End()
End If
%>

Bu kod, isteğin “https://www.ornek.com” kaynağından gelip gelmediğini kontrol eder.

3. SameSite Cookie Ayarı

SameSite cookie özelliği, tarayıcının çerezleri yalnızca aynı site içindeki isteklerle göndermesini sağlar. Bu, CSRF saldırılarını önlemede etkili bir yöntemdir çünkü çerezler, saldırganın kontrolündeki bir kaynaktan gönderilen isteklerle iletilmez.

Response.Cookies("session")("SameSite") = "Strict"

Bu kod, çerezlerin yalnızca aynı site içindeki isteklerle gönderilmesini sağlar.

4. Kullanıcı Oturum Yönetimi

Kullanıcı oturum yönetimi, CSRF saldırılarını önlemede kritik bir rol oynar. Kullanıcı oturumlarını doğru bir şekilde yönetmek, saldırganın kullanıcı oturumunu ele geçirmesini zorlaştırır.

– Oturum Süresi Kısıtlaması: Oturumların belirli bir süre sonra otomatik olarak sona ermesini sağlayarak güvenliği artırabilirsiniz.
– Oturum Yenileme: Kullanıcı oturumları düzenli aralıklarla yenilenmelidir.

Session.Timeout = 20 ' Oturum süresi 20 dakika olarak ayarlanır

Bu kod, oturum süresini 20 dakika ile sınırlar.

Gerçek Dünya Uygulamaları ve Öneriler

ASP ile CSRF saldırılarını önlemek için yukarıda bahsedilen yöntemleri uygulamak, web uygulamanızın güvenliğini önemli ölçüde artıracaktır. Ancak, bu yöntemlerin bir arada kullanılması daha etkili sonuçlar doğuracaktır. Örneğin, CSRF token kullanımı ile SameSite cookie ayarını birleştirmek, saldırganların çerezlere erişimini ve sahte istekler göndermesini zorlaştıracaktır.

Ek olarak, uygulamanızın barındırıldığı sunucunun güvenliği de kritik öneme sahiptir. Güvenli bir VDS Sunucu veya Cloud Sunucu kullanarak, sunucu tarafında da güvenliği sağlamanız mümkündür.

Sonuç

CSRF saldırıları, web uygulamalarında ciddi güvenlik açıklarına yol açabilir. ASP ile geliştirdiğiniz uygulamalarda bu tür saldırılara karşı koruma sağlamak için CSRF token kullanımı, referer başlığı kontrolü, SameSite cookie ayarı ve kullanıcı oturum yönetimi gibi yöntemleri uygulamak önemlidir. Bu yöntemler, web uygulamanızın güvenliğini artıracak ve kullanıcılarınızın verilerini koruyacaktır. Güvenli bir sunucu altyapısı ile bu önlemleri desteklemek, uygulamanızın genel güvenlik seviyesini daha da yükseltecektir.