Dijital \u00e7a\u011fda her g\u00fcn milyarlarca veri, cihazlar aras\u0131nda ak\u0131p gidiyor. Bu yo\u011fun trafi\u011fin kalbinde ise client-server ileti\u015fimi yat\u0131yor. Peki, bu hayati ileti\u015fim a\u011f\u0131n\u0131 siber sald\u0131r\u0131lardan korumak m\u00fcmk\u00fcn m\u00fc? \u00d6zellikle Siber G\u00fcvenlik Fark\u0131ndal\u0131k Ay\u0131 olan Ekim’de, bu konuda bilin\u00e7lenmek her zamankinden daha \u00f6nemli. \u0130\u015fte client-server ileti\u015fiminde kar\u015f\u0131la\u015f\u0131lan yayg\u0131n g\u00fcvenlik tehditleri ve bunlara kar\u015f\u0131 nas\u0131l durabilece\u011fimize dair kapsaml\u0131 bir rehber.<\/p>\n
G\u00fcnl\u00fck hayat\u0131m\u0131zda kulland\u0131\u011f\u0131m\u0131z internet sitelerinden mobil uygulamalara, online bankac\u0131l\u0131ktan bulut hizmetlerine kadar hemen her dijital etkile\u015fimimiz, bir \u201cclient\u201d (istemci) ve bir \u201cserver\u201d (sunucu) aras\u0131ndaki veri al\u0131\u015fveri\u015fine dayan\u0131r. Client, genellikle bilgisayar\u0131n\u0131zda \u00e7al\u0131\u015fan bir web taray\u0131c\u0131s\u0131 veya telefonunuzdaki bir uygulamad\u0131r. Server ise bu istekleri kar\u015f\u0131layan, verileri depolayan ve i\u015fleyen uzak bir bilgisayar sistemidir. Bu iki taraf aras\u0131ndaki ileti\u015fim ne kadar g\u00fcvenli olursa, ki\u015fisel verilerimiz, finansal bilgilerimiz ve kurumsal s\u0131rlar\u0131m\u0131z da o denli korunmu\u015f olur. Aksi takdirde, k\u00f6t\u00fc niyetli ki\u015filer, bu ileti\u015fim kanal\u0131n\u0131 ele ge\u00e7irerek hassas bilgilere eri\u015febilir, sistemleri manip\u00fcle edebilir veya hizmetleri aksatabilirler.<\/p>\n
Bu sebeple, client-server ileti\u015fimi \u00fczerindeki g\u00fcvenlik tehditlerini anlamak, yaln\u0131zca teknoloji profesyonelleri i\u00e7in de\u011fil, ayn\u0131 zamanda dijital platformlar\u0131 kullanan herkes i\u00e7in hayati \u00f6neme sahiptir. Verilerin gizlili\u011fi, b\u00fct\u00fcnl\u00fc\u011f\u00fc ve eri\u015filebilirli\u011fi, modern d\u00fcnyadaki dijital ekosistemin temel ta\u015flar\u0131n\u0131 olu\u015fturur. Bir veri ihlali, \u015firketler i\u00e7in itibar kayb\u0131na, b\u00fcy\u00fck maliyetlere ve yasal sorumluluklara yol a\u00e7arken, bireyler i\u00e7in kimlik h\u0131rs\u0131zl\u0131\u011f\u0131, finansal kay\u0131plar ve ki\u015fisel mahremiyetin ihlali gibi ciddi sonu\u00e7lar do\u011furabilir. \u0130nternet d\u00fcnyas\u0131nda her ge\u00e7en g\u00fcn yeni tehditler ortaya \u00e7\u0131karken, korunma y\u00f6ntemlerini de s\u00fcrekli g\u00fcncel tutmak bir zorunluluk haline gelmi\u015ftir. Bu makale, sizi client-server ileti\u015fiminin temellerinden ba\u015flayarak, kar\u015f\u0131la\u015fabilece\u011finiz yayg\u0131n tehditlere ve bu tehditlerden korunman\u0131n pratik yollar\u0131na ad\u0131m ad\u0131m ta\u015f\u0131yacak.<\/p>\n
Unutmayal\u0131m ki, siber g\u00fcvenlik sadece bir yaz\u0131l\u0131m meselesi de\u011fil, ayn\u0131 zamanda do\u011fru bilgi ve fark\u0131ndal\u0131kla desteklenmesi gereken s\u00fcrekli bir s\u00fcre\u00e7tir. Dijital varl\u0131klar\u0131m\u0131z\u0131 korumak i\u00e7in att\u0131\u011f\u0131m\u0131z her ad\u0131m, daha g\u00fcvenli bir \u00e7evrimi\u00e7i gelecek in\u015fa etmemize yard\u0131mc\u0131 olacakt\u0131r. Dolay\u0131s\u0131yla, bu konudaki bilginizi art\u0131rmak ve edindi\u011finiz fark\u0131ndal\u0131\u011f\u0131 g\u00fcnl\u00fck dijital al\u0131\u015fkanl\u0131klar\u0131n\u0131za yans\u0131tmak, hem bireysel hem de toplumsal siber g\u00fcvenlik direncimizi g\u00fc\u00e7lendirecektir. Bu ba\u011flamda, yay\u0131nlanan bilimsel \u00e7al\u0131\u015fmalar ve makaleler de, tehditleri ve bunlarla m\u00fccadele y\u00f6ntemlerini anlamam\u0131z i\u00e7in paha bi\u00e7ilmez kaynaklard\u0131r.<\/p>\n
Client-server mimarisi, modern bili\u015fim sistemlerinin temelini olu\u015fturan, bilgisayar a\u011flar\u0131nda kaynaklar\u0131 ve hizmetleri da\u011f\u0131tman\u0131n en yayg\u0131n yollar\u0131ndan biridir. Bu modelde, “client” (istemci) ad\u0131 verilen cihazlar veya uygulamalar, “server” (sunucu) ad\u0131 verilen merkezi bir kaynaktan bilgi veya hizmet talep eder. \u00d6rne\u011fin, web taray\u0131c\u0131n\u0131z bir client iken, ziyaret etti\u011finiz web sitesinin dosyalar\u0131n\u0131 bar\u0131nd\u0131ran bilgisayar bir server’d\u0131r. Mobil uygulaman\u0131z da bir client olabilirken, uygulaman\u0131n kulland\u0131\u011f\u0131 veritaban\u0131 veya API hizmetlerini sa\u011flayan yap\u0131 bir server g\u00f6revini \u00fcstlenir. Bu sistemin d\u00fczg\u00fcn ve g\u00fcvenli \u00e7al\u0131\u015fabilmesi i\u00e7in baz\u0131 temel g\u00fcvenlik terimlerini ve prensiplerini anlamam\u0131z \u015fartt\u0131r.<\/p>\n
Siber g\u00fcvenlik d\u00fcnyas\u0131nda s\u0131kl\u0131kla kar\u015f\u0131m\u0131za \u00e7\u0131kan ve “CIA Triad\u0131” olarak bilinen \u00fc\u00e7 temel ilke vard\u0131r: Gizlilik (Confidentiality), B\u00fct\u00fcnl\u00fck (Integrity) ve Eri\u015filebilirlik (Availability). Bu \u00fc\u00e7 ilke, herhangi bir bilgi g\u00fcvenli\u011fi stratejisinin temelini olu\u015fturur. Gizlilik, hassas bilgilerin yetkisiz ki\u015filerin eline ge\u00e7mesini engellemeyi ifade eder. \u00d6rne\u011fin, online bankac\u0131l\u0131k i\u015flemlerinizdeki \u015fifrenizin sadece sizin taraf\u0131n\u0131zdan bilinmesi, gizlili\u011fin bir g\u00f6stergesidir. B\u00fct\u00fcnl\u00fck ise verilerin do\u011fru, eksiksiz ve yetkisiz de\u011fi\u015fikliklerden korunmu\u015f olmas\u0131n\u0131 garanti eder. Bir e-ticaret sitesinde sipari\u015finizin miktar\u0131n\u0131n veya fiyat\u0131n\u0131n sizin bilginiz d\u0131\u015f\u0131nda de\u011fi\u015ftirilememesi, veri b\u00fct\u00fcnl\u00fc\u011f\u00fcn\u00fcn sa\u011flanmas\u0131na \u00f6rnek te\u015fkil eder. Eri\u015filebilirlik ise yetkili kullan\u0131c\u0131lar\u0131n ihtiya\u00e7 duyduklar\u0131 zaman ve yerde bilgiye veya hizmetlere eri\u015febilmesini sa\u011flar. Bir web sitesinin DDoS sald\u0131r\u0131s\u0131 nedeniyle eri\u015filemez hale gelmesi, eri\u015filebilirlik ilkesinin ihlali anlam\u0131na gelir.<\/p>\n
Bu temel ilkelerin yan\u0131 s\u0131ra, ileti\u015fim g\u00fcvenli\u011fini sa\u011flamak i\u00e7in kullan\u0131lan di\u011fer \u00f6nemli terimler \u015funlard\u0131r: Kimlik Do\u011frulama (Authentication)<\/strong>, bir kullan\u0131c\u0131n\u0131n veya sistemin iddia etti\u011fi ki\u015fi veya sistem oldu\u011funu kan\u0131tlama s\u00fcrecidir. Kullan\u0131c\u0131 ad\u0131 ve \u015fifre ile giri\u015f yapmak, iki fakt\u00f6rl\u00fc kimlik do\u011frulama kullanmak bu kategoriye girer. Yetkilendirme (Authorization)<\/strong> ise kimli\u011fi do\u011frulanm\u0131\u015f bir kullan\u0131c\u0131n\u0131n hangi kaynaklara veya i\u015flemlere eri\u015fim hakk\u0131 oldu\u011funu belirleme s\u00fcrecidir. \u00d6rne\u011fin, bir web sitesinde y\u00f6netici paneline sadece y\u00f6neticilerin eri\u015febilmesi, yetkilendirmenin bir sonucudur. \u015eifreleme (Encryption)<\/strong>, verileri okunamaz bir formata d\u00f6n\u00fc\u015ft\u00fcrerek gizlili\u011fi sa\u011flama y\u00f6ntemidir. Veriler \u015fifrelendikten sonra, sadece do\u011fru anahtara sahip olan ki\u015filer taraf\u0131ndan \u00e7\u00f6z\u00fclebilir ve okunabilir. HTTPS protokol\u00fc, bu prensibi kullanarak client ve server aras\u0131ndaki ileti\u015fimi \u015fifreler. Bu kavramlar, client-server ileti\u015fimi s\u0131ras\u0131nda verilerin korunmas\u0131, kullan\u0131c\u0131lar\u0131n do\u011fru bir \u015fekilde tan\u0131nmas\u0131 ve yetkisiz eri\u015fimin engellenmesi i\u00e7in kritik \u00f6neme sahiptir. Bu temel ta\u015flar\u0131 sa\u011flam kurmadan, hi\u00e7bir sistemin g\u00fcvenli oldu\u011fu iddia edilemez. Bu nedenle, bir sonraki b\u00f6l\u00fcmde ele alaca\u011f\u0131m\u0131z tehditleri anlamak ve onlara kar\u015f\u0131 korunmak i\u00e7in bu temel bilgilere hakim olmak \u015fartt\u0131r.<\/p>\n Client-server ileti\u015fimi, modern dijital d\u00fcnyan\u0131n can damar\u0131 olmas\u0131na ra\u011fmen, ayn\u0131 zamanda siber sald\u0131rganlar\u0131n da ba\u015fl\u0131ca hedefidir. Bu b\u00f6l\u00fcmde, bu ileti\u015fim kanal\u0131n\u0131 tehdit eden en yayg\u0131n siber sald\u0131r\u0131 t\u00fcrlerini ve bunlar\u0131n nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 detayl\u0131 bir \u015fekilde inceleyece\u011fiz. Bu tehditleri anlamak, onlara kar\u015f\u0131 etkili savunma stratejileri geli\u015ftirmemizin ilk ad\u0131m\u0131d\u0131r.<\/p>\n Man-in-the-Middle (MitM) sald\u0131r\u0131s\u0131, ad\u0131ndan da anla\u015f\u0131laca\u011f\u0131 gibi, iki ileti\u015fim kuran taraf aras\u0131na \u00fc\u00e7\u00fcnc\u00fc bir “k\u00f6t\u00fc niyetli” taraf\u0131n girmesiyle ger\u00e7ekle\u015fir. Sald\u0131rgan, client ile server aras\u0131ndaki ileti\u015fimi ele ge\u00e7irir, dinler ve hatta de\u011fi\u015ftirebilir. Kurbanlar genellikle ileti\u015fimin do\u011frudan iki nokta aras\u0131nda ger\u00e7ekle\u015fti\u011fini d\u00fc\u015f\u00fcn\u00fcrken, asl\u0131nda t\u00fcm veriler sald\u0131rgan\u0131n kontrol\u00fcndeki bir arac\u0131dan ge\u00e7mektedir. Bu t\u00fcr sald\u0131r\u0131lar genellikle g\u00fcvensiz Wi-Fi a\u011flar\u0131nda veya ARP zehirlenmesi (ARP Poisoning) gibi tekniklerle uygulan\u0131r. Sald\u0131rgan, \u015fifrelenmemi\u015f HTTP trafi\u011fini okuyabilir, form verilerini yakalayabilir veya oturum \u00e7erezlerini \u00e7alarak kullan\u0131c\u0131n\u0131n oturumunu ele ge\u00e7irebilir.<\/p>\n Ay\u015fe, bir kafede \u00fccretsiz Wi-Fi a\u011f\u0131na ba\u011flanarak bankac\u0131l\u0131k i\u015flemlerini yapmaya karar verir. Kafedeki k\u00f6t\u00fc niyetli bir sald\u0131rgan, bir MitM arac\u0131 kullanarak Ay\u015fe’nin trafi\u011fini y\u00f6nlendirir. Ay\u015fe, bankas\u0131n\u0131n web sitesine ba\u011flan\u0131rken, sald\u0131rgan bu trafi\u011fi dinler. E\u011fer banka sitesi d\u00fczg\u00fcn bir HTTPS yap\u0131land\u0131rmas\u0131na sahip olmasayd\u0131 veya sald\u0131rgan sahte bir sertifika kullanmay\u0131 ba\u015farabilseydi (ki bu daha zorlu bir senaryodur), Ay\u015fe’nin kullan\u0131c\u0131 ad\u0131 ve \u015fifresi, sald\u0131rgan\u0131n eline ge\u00e7ebilirdi. \u0130yi ki Ay\u015fe’nin bankas\u0131 g\u00fc\u00e7l\u00fc HTTPS kullan\u0131yordu, ancak bu durum, her zaman bu kadar \u015fansl\u0131 olmayaca\u011f\u0131m\u0131z\u0131 g\u00f6steriyor. G\u00fcvensiz bir web sitesine girmi\u015f olsayd\u0131, ki\u015fisel bilgileri kolayca \u00e7al\u0131nabilirdi.<\/p>\n<\/div>\n Bu sald\u0131r\u0131lara kar\u015f\u0131 korunman\u0131n en etkili yolu, her zaman HTTPS gibi \u015fifreli ba\u011flant\u0131lar\u0131 tercih etmek ve bilmedi\u011finiz, g\u00fcvensiz Wi-Fi a\u011flar\u0131nda hassas i\u015flemler yapmaktan ka\u00e7\u0131nmakt\u0131r. Ayr\u0131ca, VPN kullan\u0131m\u0131 da MitM sald\u0131r\u0131lar\u0131na kar\u015f\u0131 ek bir koruma katman\u0131 sa\u011flar.<\/p>\n SQL Enjeksiyonu (SQL Injection), web uygulamalar\u0131n\u0131n en eski ve en tehlikeli g\u00fcvenlik a\u00e7\u0131klar\u0131ndan biridir. Sald\u0131rganlar, bir uygulaman\u0131n kullan\u0131c\u0131 giri\u015fi alanlar\u0131na (\u00f6rne\u011fin kullan\u0131c\u0131 ad\u0131 veya arama \u00e7ubu\u011fu) zararl\u0131 SQL kodlar\u0131 enjekte ederek, uygulaman\u0131n veritaban\u0131 ile etkile\u015fime giren sorgular\u0131 manip\u00fcle etmeyi hedefler. Ba\u015far\u0131l\u0131 bir SQL Enjeksiyonu sald\u0131r\u0131s\u0131, veritaban\u0131ndaki t\u00fcm verilerin \u00e7al\u0131nmas\u0131na, de\u011fi\u015ftirilmesine veya silinmesine yol a\u00e7abilir. Hatta baz\u0131 durumlarda, sald\u0131rganlar sunucu i\u015fletim sistemine tam eri\u015fim sa\u011flayabilirler.<\/p>\n Bir e-ticaret sitesi, \u00fcr\u00fcn arama fonksiyonunda kullan\u0131c\u0131 giri\u015flerini yeterince do\u011frulam\u0131yor. Sald\u0131rgan, arama kutusuna normal bir \u00fcr\u00fcn ad\u0131 yerine \u015f\u00f6yle bir ifade girer: <\/code><\/p>\n Burada Bu t\u00fcr sald\u0131r\u0131lar\u0131 \u00f6nlemek i\u00e7in, geli\u015ftiricilerin kullan\u0131c\u0131 giri\u015flerini mutlaka sanitize etmeleri (temizlemeleri), parametreli sorgular (prepared statements) kullanmalar\u0131 ve en az ayr\u0131cal\u0131k prensibini uygulayarak veritaban\u0131 kullan\u0131c\u0131lar\u0131na gereksiz yetkiler vermemeleri gerekmektedir.<\/p>\n Cross-Site Scripting (XSS), web uygulamalar\u0131n\u0131n, k\u00f6t\u00fc niyetli betik kodlar\u0131n\u0131 (genellikle JavaScript) son kullan\u0131c\u0131lar\u0131n web taray\u0131c\u0131lar\u0131na enjekte etmesine izin vermesi durumunda ortaya \u00e7\u0131kan bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131d\u0131r. Bu betikler, kullan\u0131c\u0131n\u0131n taray\u0131c\u0131s\u0131nda \u00e7al\u0131\u015farak, oturum \u00e7erezlerini \u00e7alabilir, web sitesinin i\u00e7eri\u011fini de\u011fi\u015ftirebilir veya kullan\u0131c\u0131y\u0131 ba\u015fka bir k\u00f6t\u00fc niyetli siteye y\u00f6nlendirebilir. XSS sald\u0131r\u0131lar\u0131 genellikle \u00fc\u00e7 kategoriye ayr\u0131l\u0131r: Saklanm\u0131\u015f (Stored) XSS, Yans\u0131yan (Reflected) XSS ve DOM tabanl\u0131 XSS.<\/p>\n Bir sosyal medya platformunun yorum b\u00f6l\u00fcm\u00fc, kullan\u0131c\u0131lar\u0131n g\u00f6nderdi\u011fi metinleri uygun filtrelemeden ekrana yans\u0131t\u0131yor. Bir sald\u0131rgan, yorum olarak normal metin yerine a\u015fa\u011f\u0131daki gibi bir JavaScript kodu g\u00f6nderir:<\/p>\nPeki Client-Server \u0130leti\u015fimini Hangi Tehlikeler Bekliyor?<\/h2>\n
Man-in-the-Middle (Ortadaki Adam) Sald\u0131r\u0131lar\u0131 Nas\u0131l Ger\u00e7ekle\u015fir?<\/h3>\n
Vaka Analizi: Halka A\u00e7\u0131k Wi-Fi A\u011f\u0131ndaki Tehlike<\/h4>\n
Veritaban\u0131 G\u00fcvenli\u011fini Tehdit Eden SQL Enjeksiyonu Nedir?<\/h3>\n
Vaka Analizi: E-Ticaret Sitesi ve M\u00fc\u015fteri Verileri<\/h4>\n
' OR '1'='1 --<\/code>. E\u011fer uygulama bu giri\u015fi do\u011frudan SQL sorgusuna eklerse, sorgu a\u015fa\u011f\u0131daki gibi bir \u015feye d\u00f6n\u00fc\u015febilir:<\/p>\n\nSELECT * FROM products WHERE name = '' OR '1'='1' --';\n <\/pre>\n--<\/code> yorum sat\u0131r\u0131 anlam\u0131na gelir ve sonras\u0131ndaki k\u0131sm\u0131 etkisiz hale getirir. '1'='1'<\/code> ifadesi her zaman do\u011fru oldu\u011fu i\u00e7in, sorgu t\u00fcm \u00fcr\u00fcnleri (hatta belki gizli \u00fcr\u00fcnleri bile) d\u00f6nd\u00fcr\u00fcr. Daha ileri bir ad\u0131mda, sald\u0131rgan UNION SELECT<\/code> kullanarak veritaban\u0131ndaki kullan\u0131c\u0131 tablolar\u0131na veya \u015fifrelere eri\u015febilir, t\u00fcm m\u00fc\u015fteri bilgilerini \u00e7alabilir.<\/p>\n<\/div>\nCross-Site Scripting (XSS): Kullan\u0131c\u0131 Verileri Nas\u0131l \u00c7al\u0131n\u0131r?<\/h3>\n
Vaka Analizi: Sosyal Medya Platformunda Tehdit<\/h4>\n
\n