Web d\u00fcnyas\u0131, her ge\u00e7en g\u00fcn daha karma\u015f\u0131k hale gelen g\u00fcvenlik tehditleriyle dolu. \u00d6zellikle kullan\u0131c\u0131 verilerinin gizlili\u011fi ve g\u00fcvenli\u011fi, modern internetin en kritik ba\u015fl\u0131klar\u0131ndan biri. Bu makalede, bir CSRF (Cross-Site Request Forgery) vakas\u0131 \u00fczerinden, taray\u0131c\u0131lar\u0131n \u00fc\u00e7\u00fcnc\u00fc taraf \u00e7erezleri engelleme stratejilerinin web g\u00fcvenli\u011fini nas\u0131l yeniden \u015fekillendirdi\u011fini ve geli\u015ftiricilerin bu yeni d\u00fczenlemelere nas\u0131l adapte olmas\u0131 gerekti\u011fini detayl\u0131ca inceleyece\u011fiz. Hedefimiz, bu teknik karma\u015fay\u0131 herkesin anlayabilece\u011fi samimi ama profesyonel bir dille a\u00e7\u0131klamak.<\/p>\n
\u0130nternet sitelerini ziyaret etti\u011fimizde, bazen fark\u0131nda olmadan, bazen de bilin\u00e7li olarak deneyimimizi ki\u015fiselle\u015ftiren k\u00fc\u00e7\u00fck veri par\u00e7ac\u0131klar\u0131yla etkile\u015fime gireriz: \u00c7erezler (cookies). Bu \u00e7erezler, web’in temel ta\u015flar\u0131ndan biridir; kullan\u0131c\u0131 oturumlar\u0131n\u0131 y\u00f6netmekten, al\u0131\u015fveri\u015f sepeti bilgilerini saklamaya, dil tercihlerinizi hat\u0131rlamaya kadar bir\u00e7ok farkl\u0131 i\u015flevi yerine getirirler. Ancak, \u00e7erezlerin bu g\u00fc\u00e7l\u00fc yap\u0131s\u0131, k\u00f6t\u00fc niyetli akt\u00f6rlerin hedefi haline gelebilen g\u00fcvenlik a\u00e7\u0131klar\u0131na da davetiye \u00e7\u0131karabilir. \u00d6zellikle CSRF olarak bilinen sald\u0131r\u0131 t\u00fcr\u00fc, \u00e7erezlerin g\u00fcvenli kullan\u0131m\u0131n\u0131n ne kadar kritik oldu\u011funu bizlere g\u00f6sterir.<\/p>\n
Bir web sitesini ziyaret etti\u011finizde, sunucu taray\u0131c\u0131n\u0131za k\u00fc\u00e7\u00fck metin dosyalar\u0131 g\u00f6nderir. Bu dosyalar, taray\u0131c\u0131n\u0131z taraf\u0131ndan depolan\u0131r ve ayn\u0131 siteyi bir sonraki ziyaretinizde sunucuya geri g\u00f6nderilir. Bu d\u00f6ng\u00fc, web sitelerinin sizin kim oldu\u011funuzu “hat\u0131rlamas\u0131n\u0131” ve size \u00f6zel bir deneyim sunmas\u0131n\u0131 sa\u011flar. \u00c7erezleri genel olarak iki ana kategoriye ay\u0131rabiliriz:<\/p>\n
\u00c7erezlerin bu farkl\u0131 t\u00fcrleri, taray\u0131c\u0131lar\u0131n g\u00fcvenlik mekanizmalar\u0131n\u0131 ve kullan\u0131c\u0131 gizlili\u011fi politikalar\u0131n\u0131 belirlemede \u00f6nemli bir rol oynar. \u00d6zellikle \u00fc\u00e7\u00fcnc\u00fc taraf \u00e7erezlerin, bir kullan\u0131c\u0131n\u0131n farkl\u0131 sitelerdeki davran\u0131\u015flar\u0131n\u0131 izleyebilme potansiyeli, taray\u0131c\u0131lar\u0131n neden bu \u00e7erezlere kar\u015f\u0131 daha kat\u0131 \u00f6nlemler ald\u0131\u011f\u0131n\u0131 anlamam\u0131z i\u00e7in kritik bir noktad\u0131r.<\/p>\n
CSRF (Cross-Site Request Forgery) ya da T\u00fcrk\u00e7esiyle “Siteler Aras\u0131 \u0130stek Sahtecili\u011fi”, k\u00f6t\u00fc niyetli bir web sitesinin, bir kullan\u0131c\u0131n\u0131n g\u00fcvenilen bir web uygulamas\u0131na (\u00f6rne\u011fin, bankac\u0131l\u0131k sitesi, e-posta sa\u011flay\u0131c\u0131s\u0131) istemsizce komut g\u00f6ndermesini sa\u011flad\u0131\u011f\u0131 bir sald\u0131r\u0131 t\u00fcr\u00fcd\u00fcr. Bu sald\u0131r\u0131, kullan\u0131c\u0131n\u0131n o anda g\u00fcvenilen sitede oturum a\u00e7m\u0131\u015f olmas\u0131n\u0131 ve taray\u0131c\u0131s\u0131n\u0131n bu oturumla ili\u015fkili \u00e7erezleri otomatik olarak iste\u011fe eklemesini istismar eder. Sald\u0131rgan, kullan\u0131c\u0131n\u0131n fark\u0131nda olmadan, bir eylem (para transferi, \u015fifre de\u011fi\u015ftirme vb.) ger\u00e7ekle\u015ftirmesini sa\u011flamaya \u00e7al\u0131\u015f\u0131r.<\/p>\n
Basit bir senaryo d\u00fc\u015f\u00fcnelim: Bir kullan\u0131c\u0131 banka hesab\u0131na giri\u015f yapm\u0131\u015f ve taray\u0131c\u0131s\u0131nda oturum \u00e7erezi bulunmaktad\u0131r. Sald\u0131rgan, kullan\u0131c\u0131ya k\u00f6t\u00fc niyetli bir e-posta veya web sitesi arac\u0131l\u0131\u011f\u0131yla, asl\u0131nda bir banka transferini tetikleyen gizli bir HTML formu veya resim etiketi i\u00e7eren bir ba\u011flant\u0131 g\u00f6nderir. Kullan\u0131c\u0131 bu ba\u011flant\u0131ya t\u0131klad\u0131\u011f\u0131nda veya sayfay\u0131 ziyaret etti\u011finde, taray\u0131c\u0131 otomatik olarak banka.com’a bir istek g\u00f6nderir ve o anda aktif olan oturum \u00e7erezini de bu iste\u011fe ekler. Banka sunucusu, iste\u011fin me\u015fru bir kullan\u0131c\u0131dan geldi\u011fini d\u00fc\u015f\u00fcnerek i\u015flemi ger\u00e7ekle\u015ftirir. \u00c7\u00fcnk\u00fc taray\u0131c\u0131, iste\u011fin kayna\u011f\u0131n\u0131 de\u011fil, sadece \u00e7erezin g\u00f6nderilmesi gereken domaini kontrol eder.<\/p>\n
CSRF’nin tehlikesi, kullan\u0131c\u0131n\u0131n izni veya bilgisi olmadan kritik i\u015flemlerin ger\u00e7ekle\u015ftirilebilmesidir. Bu durum, veri kayb\u0131na, yetkisiz eri\u015fime veya finansal zarara yol a\u00e7abilir. Geleneksel olarak CSRF’ye kar\u015f\u0131 savunmada, isteklere \u00f6zel “CSRF token” eklemek gibi y\u00f6ntemler kullan\u0131l\u0131rken, modern taray\u0131c\u0131lar\u0131n \u00e7erez y\u00f6netimi politikalar\u0131 (\u00f6zellikle SameSite niteli\u011fi), bu t\u00fcr sald\u0131r\u0131lara kar\u015f\u0131 ek bir savunma hatt\u0131 olu\u015fturmu\u015ftur.<\/p>\n
Son y\u0131llarda, internet kullan\u0131c\u0131lar\u0131n\u0131n gizlilik endi\u015feleri giderek artt\u0131 ve bu durum, web taray\u0131c\u0131 geli\u015ftiricilerini \u00e7erez politikalar\u0131n\u0131 g\u00f6zden ge\u00e7irmeye itti. \u00dc\u00e7\u00fcnc\u00fc taraf \u00e7erezlerin yayg\u0131n kullan\u0131m\u0131, web’deki takip mekanizmalar\u0131n\u0131n temelini olu\u015fturuyordu; ancak bu durum, kullan\u0131c\u0131lar\u0131n internet \u00fczerindeki hareketlerinin a\u015f\u0131r\u0131 derecede izlenmesine yol a\u00e7t\u0131\u011f\u0131 i\u00e7in ciddi etik ve gizlilik tart\u0131\u015fmalar\u0131n\u0131 beraberinde getirdi. Taray\u0131c\u0131lar, kullan\u0131c\u0131lar\u0131n bu endi\u015felerine yan\u0131t vermek ve onlara daha g\u00fcvenli, daha \u00f6zel bir internet deneyimi sunmak amac\u0131yla \u00fc\u00e7\u00fcnc\u00fc taraf \u00e7erez engelleme mekanizmalar\u0131n\u0131 devreye sokmaya ba\u015flad\u0131.<\/p>\n
\u00dc\u00e7\u00fcnc\u00fc taraf \u00e7erezler, genellikle kullan\u0131c\u0131lar\u0131n farkl\u0131 web sitelerindeki gezintilerini bir araya getirerek detayl\u0131 profiller olu\u015fturmak i\u00e7in kullan\u0131l\u0131r. Bir reklam a\u011f\u0131, web sitesi X’te g\u00f6rd\u00fc\u011f\u00fcn\u00fcz bir ayakkab\u0131 reklam\u0131n\u0131, web sitesi Y’de ziyaret etti\u011finiz bir blogda yeniden kar\u015f\u0131n\u0131za \u00e7\u0131karabilir. Bu “\u00e7apraz site takibi” (cross-site tracking), kullan\u0131c\u0131lar\u0131n internetteki dijital ayak izlerini birle\u015ftirerek, onlar\u0131n ilgi alanlar\u0131, demografik bilgileri ve davran\u0131\u015fsal kal\u0131plar\u0131 hakk\u0131nda kapsaml\u0131 veriler toplar. Her ne kadar bu durum pazarlamac\u0131lar i\u00e7in hedefli reklamc\u0131l\u0131k imkan\u0131 sunsa da, kullan\u0131c\u0131lar genellikle bu kadar yak\u0131ndan izlendiklerini bilmekten rahats\u0131zl\u0131k duyarlar.<\/p>\n
Gizlilik aktivistleri ve d\u00fczenleyici kurumlar (\u00f6rne\u011fin, GDPR ve CCPA gibi veri koruma yasalar\u0131), bu t\u00fcr izlemenin \u015feffaf olmad\u0131\u011f\u0131n\u0131 ve kullan\u0131c\u0131lar\u0131n kontrol\u00fc d\u0131\u015f\u0131nda ger\u00e7ekle\u015fti\u011fini s\u0131k\u00e7a dile getirdi. Taray\u0131c\u0131lar, kullan\u0131c\u0131lar\u0131n veri gizlili\u011fi \u00fczerindeki kontrol\u00fcn\u00fc art\u0131rmak ve online deneyimlerini daha \u015feffaf hale getirmek amac\u0131yla bu endi\u015feleri ciddiye ald\u0131. Sonu\u00e7 olarak, \u00fc\u00e7\u00fcnc\u00fc taraf \u00e7erezleri varsay\u0131lan olarak engelleme veya k\u0131s\u0131tlama karar\u0131, bu gizlilik taleplerine verilen en \u00f6nemli yan\u0131tlardan biri haline geldi.<\/p>\n
Taray\u0131c\u0131lar, \u00fc\u00e7\u00fcnc\u00fc taraf \u00e7erez engellemesi konusunda farkl\u0131 yakla\u015f\u0131mlar benimsedi, ancak genel e\u011filim, kullan\u0131c\u0131 gizlili\u011fini \u00f6n planda tutmak oldu:<\/p>\n
Sonu\u00e7 olarak, taray\u0131c\u0131lar\u0131n \u00fc\u00e7\u00fcnc\u00fc taraf \u00e7erez engellemesine y\u00f6nelik bu evrimi, sadece bir teknik de\u011fi\u015fiklik de\u011fil, ayn\u0131 zamanda web’in gelece\u011fini \u015fekillendiren \u00f6nemli bir gizlilik ve g\u00fcvenlik felsefesidir. Bu durum, geli\u015ftiricilerin uygulamalar\u0131n\u0131 tasarlama ve \u00e7erezleri y\u00f6netme bi\u00e7imlerini k\u00f6kten de\u011fi\u015ftirmelerini gerektirmektedir.<\/p>\n
Taray\u0131c\u0131lar\u0131n \u00fc\u00e7\u00fcnc\u00fc taraf \u00e7erezlere kar\u015f\u0131 ald\u0131\u011f\u0131 s\u0131k\u0131 \u00f6nlemler, \u00f6zellikle de SameSite \u00e7erez niteli\u011finin varsay\u0131lan davran\u0131\u015f\u0131ndaki de\u011fi\u015fiklikler, CSRF sald\u0131r\u0131lar\u0131na kar\u015f\u0131 beklenmedik ama ho\u015f bir yan etki yaratt\u0131: G\u00fc\u00e7l\u00fc bir do\u011fal savunma mekanizmas\u0131. Geleneksel CSRF koruma y\u00f6ntemleri karma\u015f\u0131k token mekanizmalar\u0131 gerektirirken, art\u0131k taray\u0131c\u0131lar kendili\u011finden bir\u00e7ok CSRF senaryosunu engelleme potansiyeline sahip.<\/p>\n
Taray\u0131c\u0131lar\u0131n SameSite niteli\u011fini varsay\u0131lan olarak “Lax” veya “Strict” yapmas\u0131ndan \u00f6nce, CSRF sald\u0131r\u0131lar\u0131na kar\u015f\u0131 korunmak i\u00e7in geli\u015ftiricilerin aktif olarak \u00f6nlemler almas\u0131 gerekiyordu. \u0130\u015fte en yayg\u0131n kullan\u0131lan geleneksel y\u00f6ntemler:<\/p>\n
\n