React Native ve Expo uygulamalar\u0131nda OWASP M1 (2024) Improper Credential Usage g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131 anlamak, mobil uygulamalar\u0131n\u0131z\u0131n kritik savunmas\u0131n\u0131 olu\u015fturur. Bu makalede, kimlik bilgilerinin yanl\u0131\u015f kullan\u0131m risklerini, ger\u00e7ek d\u00fcnya senaryolar\u0131n\u0131 ve bu tehditlere kar\u015f\u0131 etkili mitigasyon stratejilerini derinlemesine inceleyece\u011fiz. Uygulama g\u00fcvenli\u011finizi en \u00fcst d\u00fczeye \u00e7\u0131karmak i\u00e7in ad\u0131m ad\u0131m rehberimizle hemen ba\u015flay\u0131n.<\/p>\n
Mobil uygulamalar, g\u00fcn\u00fcm\u00fcz dijital d\u00fcnyas\u0131nda hayat\u0131m\u0131z\u0131n vazge\u00e7ilmez bir par\u00e7as\u0131 haline geldi. Bankac\u0131l\u0131ktan sosyal medyaya, sa\u011fl\u0131ktan e-ticarete kadar pek \u00e7ok alanda, hassas verilere do\u011frudan eri\u015fim sa\u011fl\u0131yor ve kullan\u0131c\u0131lar\u0131n ki\u015fisel bilgilerini i\u015fliyorlar. Ancak bu kolayl\u0131k ve eri\u015filebilirlik, beraberinde \u00f6nemli g\u00fcvenlik risklerini de getiriyor. \u0130\u015fte tam bu noktada, OWASP (Open Web Application Security Project) Mobil Top 10<\/a> listesi devreye giriyor. Bu liste, mobil uygulama geli\u015ftiricileri ve g\u00fcvenlik uzmanlar\u0131 i\u00e7in en kritik mobil g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 derleyerek bir yol haritas\u0131 sunuyor.<\/p>\n 2024 g\u00fcncellemesiyle birlikte, OWASP Mobil Top 10 listesinin ilk s\u0131ras\u0131nda yer alan M1: “Improper Credential Usage” (Hatal\u0131 Kimlik Bilgisi Kullan\u0131m\u0131) maddesi, mobil uygulama g\u00fcvenli\u011findeki en b\u00fcy\u00fck tehditlerden birine i\u015faret ediyor. Peki, bu kavram tam olarak ne anlama geliyor ve neden \u00f6zellikle React Native ve Expo gibi pop\u00fcler geli\u015ftirme ortamlar\u0131nda bu kadar kritik bir \u00f6neme sahip? K\u0131saca ifade etmek gerekirse, M1, uygulaman\u0131z\u0131n hassas kimlik bilgilerini (API anahtarlar\u0131, \u015fifreler, token’lar, sertifikalar vb.) yanl\u0131\u015f bir \u015fekilde depolamas\u0131, i\u015flemesi veya iletmesi durumunda ortaya \u00e7\u0131kan g\u00fcvenlik zafiyetini kapsar. Bu t\u00fcr bir hata, yetkisiz eri\u015fimden veri s\u0131z\u0131nt\u0131s\u0131na, hatta uygulaman\u0131n tamamen ele ge\u00e7irilmesine kadar ciddi sonu\u00e7lar do\u011furabilir.<\/p>\n React Native ve Expo, geli\u015ftiricilere h\u0131zl\u0131 ve verimli bir \u015fekilde platformlar aras\u0131 mobil uygulamalar olu\u015fturma yetene\u011fi sunar. JavaScript\/TypeScript tabanl\u0131 olmalar\u0131, b\u00fcy\u00fck bir geli\u015ftirici toplulu\u011funa sahip olmalar\u0131 ve geli\u015ftirme s\u00fcrecini basitle\u015ftirmeleri bu platformlar\u0131n tercih edilmesinin ba\u015fl\u0131ca nedenleridir. Ancak bu esneklik ve h\u0131z, beraberinde belirli g\u00fcvenlik zorluklar\u0131n\u0131 da getirmektedir. \u00d6rne\u011fin, JavaScript kodu tersine m\u00fchendisli\u011fe daha a\u00e7\u0131k olabilir ve geli\u015ftiriciler, web ortam\u0131ndan gelen al\u0131\u015fkanl\u0131klarla hassas bilgileri yanl\u0131\u015f yerlerde saklama e\u011filiminde olabilirler. Bu durum, OWASP M1 ihlallerine davetiye \u00e7\u0131karabilir.<\/p>\n Bu makalenin amac\u0131, React Native ve Expo ile geli\u015ftirilen uygulamalarda OWASP M1’in ne anlama geldi\u011fini, hangi senaryolarda ortaya \u00e7\u0131kt\u0131\u011f\u0131n\u0131 ve en \u00f6nemlisi, bu ciddi g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131 nas\u0131l etkili bir \u015fekilde \u00f6nleyebilece\u011finizi ve azaltabilece\u011finizi ad\u0131m ad\u0131m a\u00e7\u0131klamakt\u0131r. Uygulaman\u0131z\u0131n g\u00fcvenli\u011fini sa\u011flamak, sadece kullan\u0131c\u0131 g\u00fcvenini kazanmakla kalmaz, ayn\u0131 zamanda yasal d\u00fczenlemelere uyum sa\u011flamak ve itibar\u0131n\u0131z\u0131 korumak i\u00e7in de hayati \u00f6nem ta\u015f\u0131r. Bu nedenle, M1’i do\u011fru bir \u015fekilde anlamak ve mitigasyon stratejilerini uygulamak, her mobil uygulama geli\u015ftiricisinin \u00f6ncelikli g\u00f6revi olmal\u0131d\u0131r.<\/p>\n OWASP M1: “Improper Credential Usage” (Hatal\u0131 Kimlik Bilgisi Kullan\u0131m\u0131), mobil uygulamalar\u0131n en yayg\u0131n ve tehlikeli g\u00fcvenlik a\u00e7\u0131klar\u0131ndan birini temsil eder. Bu a\u00e7\u0131k, uygulaman\u0131n kimlik bilgilerini, yani kullan\u0131c\u0131lar\u0131 veya di\u011fer sistemleri do\u011frulamak i\u00e7in kullan\u0131lan her t\u00fcrl\u00fc hassas veriyi, yanl\u0131\u015f, g\u00fcvensiz veya standartlara uygun olmayan bir \u015fekilde i\u015flemesi durumunda ortaya \u00e7\u0131kar. Kimlik bilgileri sadece kullan\u0131c\u0131 adlar\u0131 ve \u015fifrelerle s\u0131n\u0131rl\u0131 de\u011fildir; API anahtarlar\u0131, oturum token’lar\u0131, kriptografik anahtarlar, sertifikalar ve hatta uygulaman\u0131n dahili yap\u0131land\u0131rma parametreleri de bu kategoriye girer.<\/p>\n Bu zafiyetin temelinde yatan sorun, hassas bilgilerin istemci taraf\u0131nda (yani kullan\u0131c\u0131n\u0131n mobil cihaz\u0131nda) ne kadar g\u00fcvenli bir \u015fekilde sakland\u0131\u011f\u0131, iletildi\u011fi ve i\u015flendi\u011fi konusundaki eksikliklerdir. Geli\u015ftiriciler bazen h\u0131z ve kolayl\u0131k ad\u0131na veya g\u00fcvenlik en iyi uygulamalar\u0131n\u0131 g\u00f6z ard\u0131 ederek, bu t\u00fcr kritik verileri kolayca eri\u015filebilir konumlara yerle\u015ftirebilirler. Bu da bir sald\u0131rgan\u0131n, tersine m\u00fchendislik, fiziksel eri\u015fim veya di\u011fer tekniklerle bu bilgilere ula\u015fmas\u0131na olanak tan\u0131r.<\/p>\n React Native ve Expo’nun do\u011fas\u0131 gere\u011fi, geli\u015ftiricilerin JavaScript\/TypeScript kodu do\u011frudan cihazda \u00e7al\u0131\u015f\u0131r. Bu durum, web tabanl\u0131 geli\u015ftirme al\u0131\u015fkanl\u0131klar\u0131ndan gelen baz\u0131 riskleri mobil d\u00fcnyaya ta\u015f\u0131r. \u0130\u015fte React Native\/Expo uygulamalar\u0131nda M1’in ortaya \u00e7\u0131kabilece\u011fi baz\u0131 yayg\u0131n senaryolar:<\/p>\n <\/code>\n <\/li>\n <\/code>\n <\/li>\n Bu riskleri anlamak, mitigasyon stratejilerini do\u011fru bir \u015fekilde uygulaman\u0131n ilk ad\u0131m\u0131d\u0131r. Unutmay\u0131n, bir mobil uygulaman\u0131n g\u00fcvenli\u011fi, en zay\u0131f halkas\u0131 kadar g\u00fc\u00e7l\u00fcd\u00fcr ve kimlik bilgileri genellikle bu zay\u0131f halkalardan biri olmaya adayd\u0131r.<\/p>\n Hatal\u0131 kimlik bilgisi kullan\u0131m\u0131 (OWASP M1), sadece teorik bir risk de\u011fil, d\u00fcnya genelinde bir\u00e7ok veri ihlaline ve g\u00fcvenlik zafiyetine yol a\u00e7m\u0131\u015f somut bir tehdittir. Bu b\u00f6l\u00fcmde, React Native\/Expo ba\u011flam\u0131nda ortaya \u00e7\u0131kabilecek veya mobil uygulamalar\u0131 etkileyen baz\u0131 ger\u00e7ek d\u00fcnya senaryolar\u0131n\u0131 ve vaka analizlerini inceleyerek, M1'in ne kadar y\u0131k\u0131c\u0131 olabilece\u011fini daha iyi anlayaca\u011f\u0131z.<\/p>\n Bir e-ticaret uygulamas\u0131, \u00fcr\u00fcn listelerini ve \u00f6deme i\u015flemlerini y\u00f6netmek i\u00e7in \u00fc\u00e7\u00fcnc\u00fc taraf bir API kullan\u0131yordu. Geli\u015ftirici, API anahtar\u0131n\u0131 uygulaman\u0131n JavaScript kodunda sabit olarak tan\u0131mlam\u0131\u015ft\u0131 ( B\u00fcy\u00fck bir finansal hizmetler \u015firketi, m\u00fc\u015fterileri i\u00e7in bir mobil bankac\u0131l\u0131k uygulamas\u0131 geli\u015ftiriyordu. Geli\u015ftirme ekibi, test ortam\u0131nda canl\u0131 m\u00fc\u015fteri verilerini taklit etmek i\u00e7in ger\u00e7ek\u00e7i, ancak sahte kimlik bilgileri ve test API anahtarlar\u0131 kullan\u0131yordu. Ancak, test ortam\u0131ndaki bir yap\u0131land\u0131rma hatas\u0131 veya birim testlerinde kullan\u0131lan sabit kodlanm\u0131\u015f test kimlik bilgileri, yanl\u0131\u015fl\u0131kla \u00fcretim s\u00fcr\u00fcm\u00fcne dahil edildi. Uygulama yay\u0131nland\u0131ktan sonra, bir g\u00fcvenlik ara\u015ft\u0131rmac\u0131s\u0131 bu test kimlik bilgilerini ke\u015ffetti. Bu bilgiler, uygulaman\u0131n dahili test API'lerine eri\u015fim sa\u011flayarak, teorik olarak sistemde zafiyet olu\u015fturabilecek bir potansiyel bar\u0131nd\u0131r\u0131yordu. \u015eirket, bu zafiyeti h\u0131zla yamalamak zorunda kald\u0131 ve g\u00fcvenlik protokollerini g\u00f6zden ge\u00e7irdi. Bu durum, \"geli\u015ftirme s\u0131rlar\u0131n\u0131n\" bile potansiyel bir risk ta\u015f\u0131d\u0131\u011f\u0131n\u0131 ve \u00fcretim ortam\u0131na asla s\u0131zmamas\u0131 gerekti\u011fini g\u00f6sterdi.<\/p>\n<\/li>\n Bir sosyal medya uygulamas\u0131, kullan\u0131c\u0131lar\u0131n oturum token'lar\u0131n\u0131 ve baz\u0131 ki\u015fisel profil bilgilerini (\u00f6rne\u011fin kullan\u0131c\u0131 ad\u0131, e-posta) cihazda yerel olarak kaydetmek i\u00e7in AsyncStorage kullan\u0131yordu. Ama\u00e7, kullan\u0131c\u0131 deneyimini iyile\u015ftirmek ve her seferinde tekrar giri\u015f yapma zorunlulu\u011funu ortadan kald\u0131rmakt\u0131. Ancak, cihaz\u0131n dosya sistemine do\u011frudan eri\u015fimi olan k\u00f6t\u00fc niyetli bir uygulama veya cihaz\u0131 fiziksel olarak ele ge\u00e7iren bir sald\u0131rgan, AsyncStorage veritaban\u0131na eri\u015febildi. Token'lar ve profil bilgileri d\u00fcz metin olarak depoland\u0131\u011f\u0131 i\u00e7in, sald\u0131rgan bu bilgilere ula\u015farak kullan\u0131c\u0131n\u0131n oturumunu devralabildi. Bu durum, kullan\u0131c\u0131lar\u0131n hesaplar\u0131n\u0131n ele ge\u00e7irilmesine, \u00f6zel mesajlar\u0131n okunmas\u0131na ve ki\u015fisel verilerin \u00e7al\u0131nmas\u0131na yol a\u00e7t\u0131. Bu vaka, istemci taraf\u0131nda depolanan her verinin, \u00f6zellikle hassas verilerin, m\u00fcmk\u00fcn olan en y\u00fcksek g\u00fcvenlik standartlar\u0131nda korunmas\u0131 gerekti\u011finin bir g\u00f6stergesiydi.<\/p>\n<\/li>\n<\/ul>\n Bu senaryolar, OWASP M1'in sadece k\u00fc\u00e7\u00fck bir kodlama hatas\u0131ndan ibaret olmad\u0131\u011f\u0131n\u0131, aksine uygulaman\u0131n b\u00fct\u00fcnl\u00fc\u011f\u00fcn\u00fc, kullan\u0131c\u0131 verilerini ve \u015firket itibar\u0131n\u0131 ciddi \u015fekilde tehdit edebilecek sonu\u00e7lar do\u011furabilece\u011fini a\u00e7\u0131k\u00e7a ortaya koymaktad\u0131r. Bu nedenle, React Native\/Expo geli\u015ftiricilerinin bu risklere kar\u015f\u0131 proaktif bir duru\u015f sergilemesi ve en iyi g\u00fcvenlik uygulamalar\u0131n\u0131 benimsemesi ka\u00e7\u0131n\u0131lmazd\u0131r.<\/p>\n OWASP M1: \"Improper Credential Usage\" g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131 \u00f6nlemek ve azaltmak i\u00e7in proaktif ad\u0131mlar atmak, React Native ve Expo uygulamalar\u0131n\u0131n g\u00fcvenli\u011fi i\u00e7in hayati \u00f6nem ta\u015f\u0131r. Bu b\u00f6l\u00fcmde, uygulamalar\u0131n\u0131z\u0131 bu t\u00fcr risklere kar\u015f\u0131 korumak i\u00e7in uygulayabilece\u011finiz en iyi y\u00f6ntemleri ve ad\u0131m ad\u0131m stratejileri ele alaca\u011f\u0131z. Ba\u015far\u0131l\u0131 bir mitigasyon, birden fazla g\u00fcvenlik katman\u0131n\u0131n bir araya getirilmesini gerektirir.<\/p>\n Hassas kimlik bilgilerini istemci taraf\u0131nda saklamaktan ka\u00e7\u0131nmak idealdir, ancak baz\u0131 durumlarda bu ka\u00e7\u0131n\u0131lmaz olabilir (\u00f6rne\u011fin oturum token'lar\u0131). Bu durumda, verileri g\u00fcvensiz depolama mekanizmalar\u0131nda tutmak yerine, platformun sundu\u011fu g\u00fcvenli depolama \u00e7\u00f6z\u00fcmlerini kullanmal\u0131s\u0131n\u0131z:<\/p>\n <\/code>\n <\/li>\n<\/ul>\n<\/li>\n M\u00fcmk\u00fcn olan her durumda, hassas bilgileri istemci taraf\u0131nda tutmaktan ka\u00e7\u0131n\u0131n. Bunun yerine, kimlik do\u011frulama ve yetkilendirme s\u00fcre\u00e7lerini sunucu taraf\u0131nda y\u00f6netin:<\/p>\n Bu mitigasyon stratejilerini bir arada uygulamak, React Native ve Expo uygulamalar\u0131n\u0131z\u0131n OWASP M1'e kar\u015f\u0131 direncini \u00f6nemli \u00f6l\u00e7\u00fcde art\u0131racakt\u0131r. G\u00fcvenlik, tek seferlik bir i\u015flem de\u011fil, s\u00fcrekli bir s\u00fcre\u00e7tir ve geli\u015ftirme ya\u015fam d\u00f6ng\u00fcs\u00fcn\u00fcn her a\u015famas\u0131nda d\u00fc\u015f\u00fcn\u00fclmelidir.<\/p>\n Mobil uygulama g\u00fcvenli\u011fi, sadece temel \u00f6nlemleri almakla bitmez; s\u00fcrekli geli\u015fen tehdit ortam\u0131na kar\u015f\u0131 adaptasyon ve iyile\u015ftirme gerektiren dinamik bir aland\u0131r. \u00d6zellikle OWASP M1 gibi yayg\u0131n zafiyetlere kar\u015f\u0131 g\u00fc\u00e7l\u00fc bir savunma olu\u015fturmak, ileri d\u00fczey taktikleri ve s\u00fcrekli g\u00fcvenlik pratiklerini uygulamay\u0131 zorunlu k\u0131lar. Bu b\u00f6l\u00fcmde, React Native\/Expo uygulamalar\u0131n\u0131z\u0131n g\u00fcvenli\u011fini bir sonraki seviyeye ta\u015f\u0131yacak ipu\u00e7lar\u0131n\u0131 ve s\u00fcrd\u00fcr\u00fclebilir g\u00fcvenlik yakla\u015f\u0131mlar\u0131n\u0131 inceleyece\u011fiz.<\/p>\n Hi\u00e7bir uygulama, titiz g\u00fcvenlik testlerinden ge\u00e7irilmeden ger\u00e7ekten g\u00fcvenli say\u0131lamaz. D\u00fczenli ve kapsaml\u0131 testler, olas\u0131 zafiyetleri erkenden tespit etmenin ve d\u00fczeltmenin en etkili yoludur:<\/p>\n Ayr\u0131ca, geli\u015ftirme ve da\u011f\u0131t\u0131m s\u00fcre\u00e7lerinize g\u00fcvenlik entegrasyonu (DevSecOps) sa\u011flamak, g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131n erken a\u015famada tespit edilip giderilmesini kolayla\u015ft\u0131r\u0131r. CI\/CD (S\u00fcrekli Entegrasyon\/S\u00fcrekli Da\u011f\u0131t\u0131m) boru hatt\u0131n\u0131za otomatik g\u00fcvenlik testlerini ve taramalar\u0131n\u0131 dahil etmek, g\u00fcvenli\u011fi bir \"sonradan ekleme\" olmaktan \u00e7\u0131kar\u0131p, s\u00fcrecin do\u011fal bir par\u00e7as\u0131 haline getirir.<\/p>\n Mobil Uyumluluk ve Responsive Tasar\u0131m i\u00e7in HTML ve CSS \u0130pu\u00e7lar\u0131:<\/strong> Makale i\u00e7eri\u011finde mobil uyumluluk vurgusu yaparken, kullan\u0131lan HTML ve CSS'in kendisinin de responsive olmas\u0131 \u00f6nemlidir. A\u015fa\u011f\u0131daki CSS kodu, makale i\u00e7eri\u011finin farkl\u0131 ekran boyutlar\u0131na uyum sa\u011flamas\u0131 i\u00e7in temel bir yap\u0131 sunar. Bu, i\u00e7erik t\u00fcketimi a\u00e7\u0131s\u0131ndan mobil kullan\u0131c\u0131 deneyimini art\u0131r\u0131r ve SEO s\u0131ralamalar\u0131n\u0131 olumlu etkiler.<\/p>\n <\/code><\/p>\n React Native ve Expo ile modern mobil uygulamalar geli\u015ftirmek, \u015f\u00fcphesiz bir\u00e7ok avantaj sunar. Ancak, bu avantajlar\u0131n beraberinde getirdi\u011fi g\u00fcvenlik sorumluluklar\u0131n\u0131 da g\u00f6z ard\u0131 etmemek gerekir. OWASP M1 (2024) Improper Credential Usage, kimlik bilgilerinin yanl\u0131\u015f kullan\u0131m\u0131ndan kaynaklanan ciddi riskleri vurgulayan kritik bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131d\u0131r. Bu makale boyunca, bu zafiyetin temel kavramlar\u0131n\u0131, React Native\/Expo ortam\u0131ndaki tezah\u00fcrlerini, ger\u00e7ek d\u00fcnya senaryolar\u0131n\u0131 ve en \u00f6nemlisi, uygulamalar\u0131n\u0131z\u0131 bu tehdide kar\u015f\u0131 nas\u0131l g\u00fc\u00e7lendirebilece\u011finizi detayl\u0131ca inceledik. G\u00fcvenli depolama mekanizmalar\u0131n\u0131 kullanmaktan, sunucu taraf\u0131 kimlik do\u011frulamas\u0131na ve ileri d\u00fczey g\u00fcvenlik testlerine kadar bir\u00e7ok katmanl\u0131 yakla\u015f\u0131m\u0131n, mobil uygulama g\u00fcvenli\u011finizin temelini olu\u015fturdu\u011funu g\u00f6rd\u00fck.<\/p>\n Unutmay\u0131n, g\u00fcvenlik bir var\u0131\u015f noktas\u0131 de\u011fil, s\u00fcrekli bir yolculuktur. Uygulama geli\u015ftirme s\u00fcre\u00e7lerinizin her a\u015famas\u0131nda g\u00fcvenli\u011fi bir \u00f6ncelik olarak benimsemek, d\u00fczenli denetimler yapmak ve g\u00fcncel tehditler hakk\u0131nda bilgi sahibi olmak, kullan\u0131c\u0131lar\u0131n\u0131z\u0131n verilerini koruman\u0131n ve markan\u0131z\u0131n itibar\u0131n\u0131 s\u00fcrd\u00fcrmenin anahtar\u0131d\u0131r. Bu rehberdeki prensipleri uygulayarak, React Native\/Expo uygulamalar\u0131n\u0131zda OWASP M1 riskini \u00f6nemli \u00f6l\u00e7\u00fcde azaltabilir ve daha g\u00fcvenli bir mobil ekosistem in\u015fa edebilirsiniz.<\/p>\n Cevap: Hay\u0131r, OWASP M1 \"Improper Credential Usage\" genel olarak her t\u00fcrl\u00fc kimlik bilgisi i\u00e7in ge\u00e7erlidir. Buna kullan\u0131c\u0131 adlar\u0131, \u015fifreler, API anahtarlar\u0131, sertifikalar, oturum token'lar\u0131 ve di\u011fer hassas veriler dahildir. Sorun, bu bilgilerin yanl\u0131\u015f depolanmas\u0131, i\u015flenmesi veya iletilmesinden kaynaklan\u0131r. Sald\u0131rgan\u0131n bu bilgilere eri\u015fimi, uygulaman\u0131n yetkili i\u015flevlerini k\u00f6t\u00fcye kullanmas\u0131na olanak tan\u0131r.<\/p>\n<\/li>\n Cevap: Expo, geli\u015ftirme s\u00fcrecini basitle\u015ftirir ve baz\u0131 g\u00fcvenlik standartlar\u0131n\u0131 uygulaman\u0131za yard\u0131mc\u0131 olabilir, ancak do\u011frudan OWASP M1 gibi g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 otomatik olarak kapatmaz. \u00d6rne\u011fin, Cevap: M\u00fcmk\u00fcn oldu\u011funca evet. Kullan\u0131c\u0131 kimlik bilgileri (\u015fifreler), \u00f6zel API anahtarlar\u0131 ve di\u011fer \u00e7ok hassas veriler istemci taraf\u0131nda tutulmamal\u0131, bunun yerine sunucu taraf\u0131nda g\u00fcvenli bir \u015fekilde saklanmal\u0131 ve eri\u015fim gerekti\u011finde g\u00fcvenli API \u00e7a\u011fr\u0131lar\u0131 arac\u0131l\u0131\u011f\u0131yla do\u011frulanmal\u0131d\u0131r. \u0130stemci taraf\u0131nda yaln\u0131zca oturum token'lar\u0131 gibi ge\u00e7ici ve s\u0131n\u0131rl\u0131 yetkiye sahip bilgiler tutulabilir, o da g\u00fcvenli depolama mekanizmalar\u0131yla (Keychain\/Keystore) \u015fifrelenmi\u015f olarak. Temel prensip, istemcide sadece kesinlikle gerekli olan\u0131 tutmakt\u0131r.<\/p>\n<\/li>\n Cevap: Kod obfuscation (kod karartma), tersine m\u00fchendisli\u011fi zorla\u015ft\u0131ran bir savunma katman\u0131d\u0131r, ancak tek ba\u015f\u0131na bir g\u00fcvenlik \u00e7\u00f6z\u00fcm\u00fc de\u011fildir. Kodu tamamen k\u0131r\u0131lamaz hale getirmez, ancak bir sald\u0131rgan\u0131n kodu anlamas\u0131n\u0131 ve hassas bilgileri bulmas\u0131n\u0131 daha zahmetli ve zaman al\u0131c\u0131 hale getirir. Bu nedenle, obfuscation, di\u011fer g\u00fc\u00e7l\u00fc g\u00fcvenlik \u00f6nlemleri (g\u00fcvenli depolama, sunucu taraf\u0131 do\u011frulama, sertifika sabitleme vb.) ile birlikte kapsaml\u0131 bir g\u00fcvenlik stratejisinin bir par\u00e7as\u0131 olarak kullan\u0131lmal\u0131d\u0131r. Tek ba\u015f\u0131na bir \u00e7\u00f6z\u00fcm olarak g\u00fcvenilmemelidir.<\/p>\n<\/li>\n Cevap: React Native uygulamalar\u0131nda sertifika sabitleme (Certificate Pinning) i\u00e7in genellikle \u00fc\u00e7\u00fcnc\u00fc taraf k\u00fct\u00fcphaneler kullan\u0131l\u0131r. \u00d6rne\u011fin, iOS i\u00e7in <\/body><\/p>\n","protected":false},"excerpt":{"rendered":"React Native ve Expo uygulamalar\u0131nda OWASP M1 (2024) Improper Credential Usage g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131 anlamak, mobil uygulamalar\u0131n\u0131z\u0131n kritik savunmas\u0131n\u0131…","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"csco_page_header_type":"","csco_page_load_nextpost":"","csco_page_subscribe_form":"","csco_page_contact_form":"","footnotes":""},"categories":[128],"tags":[],"class_list":{"0":"post-33271","1":"post","2":"type-post","3":"status-publish","4":"format-standard","6":"category-react","7":"cs-entry","8":"cs-video-wrap"},"yoast_head":"\nOWASP M1 (2024) “Improper Credential Usage” Temel Kavramlar\u0131 Nelerdir?<\/h2>\n
React Native\/Expo Ortam\u0131nda Kimlik Bilgileri Nas\u0131l Risk Alt\u0131na Girer?<\/h3>\n
\n
\n \/\/ K\u00f6t\u00fc \u00f6rnek: Kimlik bilgisi do\u011frudan kod i\u00e7inde\n const API_KEY = \"sk_live_thisisyoursecretkey_asla_yapmayin\"; \/\/ Asla yapmay\u0131n!\n\n async function fetchData() {\n const response = await fetch('https:\/\/api.example.com\/data', {\n headers: {\n 'Authorization': Bearer ${API_KEY}<\/code>\n }\n });\n \/\/ ...\n }\n <\/pre>\n.env<\/code> dosyalar\u0131) arac\u0131l\u0131\u011f\u0131yla y\u00f6netirler. Ancak React Native veya Expo'da, bu de\u011fi\u015fkenlerin nas\u0131l kullan\u0131ld\u0131\u011f\u0131 kritik \u00f6neme sahiptir. Varsay\u0131lan olarak, .env<\/code> dosyas\u0131ndaki de\u011fi\u015fkenler build s\u00fcrecinde bundle i\u00e7ine g\u00f6m\u00fcl\u00fcr ve bu da yine tersine m\u00fchendislik yoluyla eri\u015filebilir hale gelebilir.<\/p>\n\n \/\/ K\u00f6t\u00fc \u00f6rnek: .env dosyas\u0131nda hassas bilgiyi do\u011fru \u015fekilde kullanmamak\n \/\/ .env dosyas\u0131nda: REACT_APP_API_KEY=sk_live_thisisyoursecretkey\n \/\/ JS kodunda: process.env.REACT_APP_API_KEY\n \/\/ Bu hala bundle i\u00e7ine girebilir ve g\u00fcvenli de\u011fildir!\n <\/pre>\nGer\u00e7ek D\u00fcnya Senaryolar\u0131 ve Vaka Analizleri: Hatal\u0131 Kimlik Bilgisi Kullan\u0131m\u0131 Nas\u0131l Zarar Verir?<\/h2>\n
\n
const API_KEY = \"prod_api_key_12345\";<\/code>). Uygulama ma\u011fazas\u0131na y\u00fcklendikten k\u0131sa bir s\u00fcre sonra, k\u00f6t\u00fc niyetli bir akt\u00f6r, uygulaman\u0131n APK dosyas\u0131n\u0131 indirdi ve basit bir dekompilasyon arac\u0131 kullanarak JavaScript kaynak koduna ula\u015ft\u0131. Kod i\u00e7inde yer alan API anahtar\u0131n\u0131 kolayca tespit etti. Bu anahtar, uygulaman\u0131n arka ucuna yetkili eri\u015fim sa\u011flayabiliyordu. Sald\u0131rgan, bu anahtar\u0131 kullanarak sahte sipari\u015fler olu\u015fturdu, indirim kuponlar\u0131 \u00fcretti ve hatta m\u00fc\u015fteri bilgilerini g\u00f6r\u00fcnt\u00fcleyebildi. \u015eirket, bu durumu fark etti\u011finde milyonlarca dolarl\u0131k zarar ve b\u00fcy\u00fck bir itibar kayb\u0131yla kar\u015f\u0131 kar\u015f\u0131ya kald\u0131.<\/p>\nReact Native\/Expo Uygulamalar\u0131nda OWASP M1 Nas\u0131l \u00d6nlenir ve Mitige Edilir?<\/h2>\n
G\u00fcvenli Kimlik Bilgisi Depolama Y\u00f6ntemleri Nelerdir?<\/h3>\n
\n
\n
react-native-keychain<\/code>:<\/strong> React Native uygulamalar\u0131 i\u00e7in bu yerel depolama mekanizmalar\u0131na eri\u015fim sa\u011flayan pop\u00fcler bir k\u00fct\u00fcphanedir. Bu k\u00fct\u00fcphane, API anahtarlar\u0131, \u015fifreler veya oturum token'lar\u0131 gibi hassas bilgileri g\u00fcvenli bir \u015fekilde depolaman\u0131za ve alman\u0131za olanak tan\u0131r.\n <\/li>\nexpo-secure-store<\/code>:<\/strong> Expo projeleri i\u00e7in benzer bir i\u015flevsellik sunar. Veriler iOS'ta Keychain, Android'de ise Keystore veya uygun \u015fifreleme mekanizmalar\u0131 kullan\u0131larak depolan\u0131r. Bu, \u00f6zellikle Expo Go veya y\u00f6netilen i\u015f ak\u0131\u015f\u0131 kullan\u0131yorsan\u0131z kritik bir ara\u00e7t\u0131r.<\/p>\n\n \/\/ Do\u011fru kullan\u0131m: expo-secure-store ile g\u00fcvenli depolama\n import * as SecureStore from 'expo-secure-store';\n\n async function saveSecret(key, value) {\n \/\/ Cihaz\u0131n SecureStore'u destekleyip desteklemedi\u011fini kontrol edin\n let isAvailable = await SecureStore.isAvailableAsync();\n if (isAvailable) {\n await SecureStore.setItemAsync(key, value);\n console.log('${key}' ba\u015far\u0131yla g\u00fcvenli bir \u015fekilde depoland\u0131.<\/code>);\n } else {\n console.warn(\"SecureStore cihazda mevcut de\u011fil. G\u00fcvenli depolama yap\u0131lamad\u0131.\");\n \/\/ Alternatif (ancak daha az g\u00fcvenli) bir depolama stratejisi uygulayabilirsiniz.\n \/\/ VEYA kullan\u0131c\u0131y\u0131 bilgilendirip uygulamay\u0131 kullanamayaca\u011f\u0131n\u0131 belirtebilirsiniz.\n }\n }\n\n async function getSecret(key) {\n let isAvailable = await SecureStore.isAvailableAsync();\n if (isAvailable) {\n const result = await SecureStore.getItemAsync(key);\n if (result) {\n console.log('${key}' i\u00e7in depolanan de\u011fer: ${result}<\/code>);\n return result;\n } else {\n console.log('${key}' i\u00e7in depolanm\u0131\u015f bir de\u011fer bulunamad\u0131.<\/code>);\n return null;\n }\n } else {\n console.warn(\"SecureStore cihazda mevcut de\u011fil. G\u00fcvenli depolama yap\u0131lamad\u0131.\");\n return null;\n }\n }\n\n \/\/ \u00d6rnek kullan\u0131m:\n \/\/ saveSecret('api_token', 'your_secure_jwt_token_here');\n \/\/ const token = await getSecret('api_token');\n \/\/ if (token) {\n \/\/ console.log('Al\u0131nan token:', token);\n \/\/ }\n <\/pre>\nSunucu Taraf\u0131nda Kimlik Do\u011frulama ve Yetkilendirme Nas\u0131l Yap\u0131l\u0131r?<\/h3>\n
\n
expo-secure-store<\/code> gibi yerlerde).\n <\/li>\nUygulama \u0130\u00e7i Gizli Bilgilerin Y\u00f6netimi \u0130\u00e7in En \u0130yi Uygulamalar Nelerdir?<\/h3>\n
\n
Mobil G\u00fcvenlikte \u0130leri D\u00fczey Taktikler ve S\u00fcrekli \u0130yile\u015ftirme<\/h2>\n
Uygulaman\u0131z\u0131n G\u00fcvenli\u011fini Nas\u0131l Test Edebilirsiniz?<\/h3>\n
\n
\n \/* Mobile-first tasar\u0131m yakla\u015f\u0131m\u0131 i\u00e7in temel ayarlar *\/\n body {\n font-family: 'Segoe UI', Tahoma, Geneva, Verdana, sans-serif;\n line-height: 1.6;\n color: #333;\n margin: 0;\n padding: 15px; \/* K\u00fc\u00e7\u00fck ekranlarda kenar bo\u015flu\u011fu *\/\n box-sizing: border-box;\n }\n\n h2, h3 {\n color: #2c3e50;\n margin-top: 1.5em;\n margin-bottom: 0.8em;\n }\n\n p {\n margin-bottom: 1em;\n }\n\n .expert-tip {\n background-color: #fff3cd;\n border-left: 5px solid #ffc107;\n padding: 15px;\n margin: 20px 0;\n color: #856404;\n border-radius: 4px;\n }\n\n pre {\n background-color: #f8f8f8;\n border: 1px solid #ddd;\n padding: 10px;\n border-radius: 4px;\n overflow-x: auto;\n white-space: pre-wrap; \/* Uzun kod sat\u0131rlar\u0131n\u0131 sarar *\/\n word-wrap: break-word; \/* Kelimeleri b\u00f6ler *\/\n }\n\n code {\n font-family: 'Consolas', 'Monaco', monospace;\n font-size: 0.9em;\n }\n\n \/* K\u00fc\u00e7\u00fck ekranlar (mobil cihazlar) i\u00e7in \u00f6zelle\u015ftirmeler *\/\n @media only screen and (max-width: 768px) {\n body {\n padding: 10px;\n font-size: 15px;\n }\n h2 {\n font-size: 22px;\n }\n h3 {\n font-size: 18px;\n }\n .expert-tip {\n padding: 10px;\n font-size: 14px;\n }\n }\n\n \/* Orta ekranlar (tabletler) i\u00e7in \u00f6zelle\u015ftirmeler *\/\n @media only screen and (min-width: 769px) and (max-width: 1024px) {\n body {\n padding: 20px;\n font-size: 16px;\n }\n h2 {\n font-size: 26px;\n }\n h3 {\n font-size: 20px;\n }\n }\n\n \/* B\u00fcy\u00fck ekranlar (masa\u00fcst\u00fc) i\u00e7in \u00f6zelle\u015ftirmeler *\/\n @media only screen and (min-width: 1025px) {\n body {\n max-width: 900px;\n margin: 0 auto;\n padding: 25px;\n font-size: 17px;\n }\n h2 {\n font-size: 28px;\n }\n h3 {\n font-size: 22px;\n }\n }\n <\/pre>\nSonu\u00e7 ve S\u0131k\u00e7a Sorulan Sorular<\/h2>\n
S\u0131k\u00e7a Sorulan Sorular (SSS)<\/h3>\n
\n
expo-secure-store<\/code> gibi mod\u00fcller g\u00fcvenli depolama i\u00e7in ara\u00e7lar sunsa da, bu ara\u00e7lar\u0131 do\u011fru \u015fekilde kullanmak geli\u015ftiricinin sorumlulu\u011fundad\u0131r. Expo'nun managed workflow'unda baz\u0131 yerel kod eri\u015fimi k\u0131s\u0131tlamalar\u0131 bulunsa da, genel uygulama mant\u0131\u011f\u0131 ve hassas veri y\u00f6netimi geli\u015ftiricinin kontrol\u00fcndedir. Geli\u015ftirme s\u00fcrecinde g\u00fcvenlik bilinci ve en iyi uygulamalar\u0131n titizlikle takibi esast\u0131r.<\/p>\n<\/li>\nreact-native-keychain<\/code><\/a> gibi k\u00fct\u00fcphaneler veya react-native-ssl-public-key-pinning<\/code><\/a> gibi sadece sabitleme \u00fczerine odaklanan k\u00fct\u00fcphaneler mevcuttur. Bu k\u00fct\u00fcphaneler, uygulaman\u0131n belirli sunucular\u0131n sertifikalar\u0131n\u0131 veya a\u00e7\u0131k anahtarlar\u0131n\u0131 \u00f6nceden bilmesini ve yaln\u0131zca bu \u00f6nceden tan\u0131mlanm\u0131\u015f sertifikalarla e\u015fle\u015fen ba\u011flant\u0131lara g\u00fcvenmesini sa\u011flar. Bu, Man-in-the-Middle (MitM) sald\u0131r\u0131lar\u0131na kar\u015f\u0131 \u00f6nemli bir koruma katman\u0131 ekler. Her iki platform (iOS ve Android) i\u00e7in de yerel mod\u00fcller gerektirebilece\u011finden, Expo'nun y\u00f6netilen i\u015f ak\u0131\u015f\u0131nda bu t\u00fcr derinlemesine yerel mod\u00fcl entegrasyonlar\u0131 i\u00e7in bazen Expo Development Client (EAS Build) kullanman\u0131z gerekebilir.<\/p>\n<\/li>\n<\/ol>\n