Giriş

Modern yazılım mimarilerinde API'lar, uygulamalar arasındaki veri alışverişinin ve işlevsellik paylaşımının omurgasını oluşturur. Mobil uygulamalardan web servislerine, mikro servislerden IoT cihazlarına kadar her alanda karşımıza çıkan API'ların güvenliği, hassas verilerin korunması, yetkisiz erişimin önlenmesi ve sistem bütünlüğünün sağlanması açısından kritik bir öneme sahiptir. Bu yazıda, API güvenliğinin temel taşları olan Token, JSON Web Tokens (JWT) ve OAuth 2.0 kavramlarını detaylıca inceleyeceğiz.

Token (Belirteç) Nedir?

Token, kullanıcı veya uygulamanın kimliğini ve/veya yetkilerini temsil eden şifreli bir veri parçasıdır. Geleneksel oturum tabanlı kimlik doğrulama yöntemlerinden farklı olarak, token tabanlı sistemler genellikle sunucu tarafında durum tutmayı gerektirmez (stateless). Bu durum, özellikle dağıtık sistemler ve yük dengelemeli ortamlar için büyük avantaj sağlar. Bir kullanıcı kimlik doğrulamasından geçtiğinde, sunucu bir token oluşturur ve istemciye gönderir. İstemci, sonraki her istekte bu token'ı sunucuya ileterek kendini doğrular ve yetkilendirilir.

JSON Web Tokens (JWT)

JWT (okunuşu "jot"), kısa ve URL güvenli bir şekilde bilgi alışverişi yapmak için kullanılan kompakt, URL güvenli ve kriptografik olarak imzalanmış bir token standardıdır. Genellikle kimlik doğrulama ve yetkilendirme süreçlerinde kullanılır. JWT'ler, üç ana bölümden oluşur:

• Başlık (Header): Token türünü (JWT) ve kullanılan imzalama algoritmasını (örneğin HS256, RS256) içerir.
• Payload (Yük): "Claim" adı verilen verileri içerir. Bu kısım, kullanıcı kimliği, rolü, son kullanma süresi gibi bilgileri barındırabilir. Payload, hassas bilgiler içermemelidir çünkü yalnızca base64 ile kodlanmıştır, şifrelenmemiştir.
• İmza (Signature): Başlık ve payload'ın base64URL kodlanmış hallerinin birleştirilmesi ve bir sır anahtarı ile imzalanmasıyla oluşturulur. Bu imza, token'ın bütünlüğünü ve kimin tarafından oluşturulduğunu doğrulamak için kullanılır.

JWT'nin Avantajları:

• Kompakt ve URL Güvenli: HTTP başlıkları veya sorgu parametreleri aracılığıyla kolayca iletilebilir.
• Durumsuzluk (Stateless): Sunucu tarafında oturum bilgisi tutmaya gerek kalmaz, bu da ölçeklenebilirliği artırır.
• İmzalı ve Doğrulanabilir: İmza sayesinde token'ın değiştirilip değiştirilmediği veya yetkisiz kişilerce oluşturulup oluşturulmadığı tespit edilebilir.

JWT'nin Dezavantajları:

• İptal Edilemezlik (Revocability): Token'lar imzalandıktan sonra süresi dolana kadar geçerlidir. Bir kullanıcının yetkisi iptal edildiğinde veya şifresi değiştiğinde, token'ı anında geçersiz kılmak zordur. Bu durum için kara listeleme veya kısa süreli token kullanımı gibi ek mekanizmalar gerekebilir.
• Boyut: Payload'daki veri miktarı arttıkça token boyutu da artar, bu da bant genişliği kullanımını etkileyebilir.

OAuth 2.0

OAuth 2.0, uygulamaların, kullanıcıların özel bilgilerine doğrudan kullanıcı adı ve şifresini vermeden erişim izni vermesini sağlayan bir yetkilendirme çerçevesidir. Kimlik doğrulama (authentication) değil, yetkilendirme (authorization) üzerine odaklanır. Yani, bir kullanıcının kim olduğunu değil, bir uygulamanın belirli bir kaynağa erişim izni olup olmadığını belirler.

OAuth 2.0'daki Temel Roller:

• Kaynak Sahibi (Resource Owner): Kendi verilerine erişim izni veren kullanıcıdır (örn: sosyal medya hesabınızın sahibi sizsiniz).
• İstemci (Client): Kaynak sahibinin verilerine erişmek isteyen uygulamadır (örn: fotoğraf düzenleme uygulaması).
• Yetkilendirme Sunucusu (Authorization Server): Kaynak sahibinin kimliğini doğrular ve istemciye erişim tokenları verir.
• Kaynak Sunucusu (Resource Server): Kaynak sahibinin korunan verilerini barındıran sunucudur (örn: fotoğraf albümünüzün bulunduğu sunucu).

OAuth 2.0 Akış Türleri (Grant Types):
OAuth 2.0, farklı kullanım senaryolarına uygun çeşitli akış türleri sunar (örn: Yetkilendirme Kodu Akışı, İstemci Kimlik Bilgileri Akışı, Parola Akışı). En yaygın ve güvenli olanı Yetkilendirme Kodu Akışı'dır.

Token, JWT ve OAuth2 İlişkisi

Bu üç kavram birbirini tamamlayan unsurlardır:

• OAuth 2.0, bir yetkilendirme çerçevesidir ve Tokenları (erişim tokenları, yenileme tokenları) kaynaklara erişim izni vermek için kullanır.
• JWT, OAuth 2.0 tarafından verilen bir Tokenın bir biçimi olabilir. Yani, OAuth 2.0 akışları sonucunda elde edilen erişim tokenı veya kimlik tokenı (ID Token) bir JWT olabilir. JWT'nin imzalı yapısı, token'ın geçerliliğini ve içeriğinin bütünlüğünü doğrulamaya yardımcı olur.

Özetle, OAuth 2.0 yetkilendirme mekanizmasını sağlarken, JWT bu yetkilendirme bilgisini taşıyan güvenli bir token formatı sunar. Token ise genel bir belirteç kavramıdır ve JWT bunun popüler bir uygulamasıdır.

Sonuç ve En İyi Uygulamalar

API güvenliği, günümüzün bağlantılı dünyasında vazgeçilmez bir unsurdur. Token tabanlı kimlik doğrulama, JWT'nin kompakt ve imzalı yapısı, ve OAuth 2.0'ın esnek yetkilendirme çerçevesi, modern API güvenliğinin temelini oluşturur. Bu teknolojileri doğru bir şekilde uygulayarak, verilerinizi koruyabilir ve sistemlerinizin güvenliğini artırabilirsiniz.

Güvenlik İpuçları:

• Erişim tokenları için kısa ömürlü süreler belirleyin ve yenileme tokenları kullanın.
• Tüm API iletişiminde HTTPS/SSL kullanın.
• Tokenları güvenli bir şekilde saklayın (örn: istemci tarafında HTTP Only çerezler).
• İstemci kimlik bilgilerini asla istemci tarafında tutmayın.
• Giriş doğrulama ve yetkilendirme katmanlarını dikkatlice uygulayın.
• Hata mesajlarında hassas bilgiler ifşa etmekten kaçının.