• Dikey Yetki Yükselmesi (Vertical Privilege Escalation): Daha düşük ayrıcalıklara sahip bir kullanıcının, yönetici gibi daha yüksek ayrıcalıklara sahip bir kullanıcının işlemlerini gerçekleştirmesi veya kaynaklarına erişmesidir. Örneğin, bir kullanıcının URL'deki bir parametreyi değiştirerek yönetici paneline ulaşması.
• Yatay Yetki Yükselmesi (Horizontal Privilege Escalation): Bir kullanıcının kendi seviyesindeki başka bir kullanıcının kaynaklarına veya verilerine erişmesidir. Buna Kırık Fonksiyon Seviyesi Erişim Kontrolü veya Uygunsuz Yetkilendirme de denebilir. En bilinen örneği, URL'deki bir kullanıcı kimliğini değiştirerek başka bir kullanıcının hesabını görüntüleyebilmek veya düzenleyebilmektir. Bu durum, genellikle Insecure Direct Object References (IDOR) olarak adlandırılır.
• Fonksiyon Seviyesi Erişim Kontrolü Eksikliği: Uygulamanın, belirli fonksiyonlara erişimden önce yeterli yetkilendirme kontrolü yapmamasıdır. Örneğin, bir API çağrısının kullanıcı rolü kontrolü yapılmadan hassas bir işlemi gerçekleştirmesine izin vermesi.
• Yetkisiz Dosya ve Dizin Erişimi: Uygulamanın, sunucudaki hassas dosyalara veya dizinlere yetkisiz erişime izin vermesidir. Buna Path Traversal (Dizin Gezintisi) zafiyetleri de dahildir.
• Zayıf Oturum Yönetimi: Oturum belirteçlerinin (session tokens) tahmin edilebilir olması, yeterince rastgele olmaması veya oturum sonlandırma mekanizmalarının eksik olması gibi durumlar. Bu, saldırganın başka bir kullanıcının oturumunu ele geçirmesine olanak tanır.
• Client-Side Kontrolleri: Erişim kontrollerinin sadece istemci tarafında (JavaScript vb.) yapılması ve sunucu tarafında doğrulanmaması durumudur. Saldırgan, tarayıcıda bu kontrolleri kolayca atlayabilir.

OWASP'ın tanımına göre: "Kırık Erişim Kontrolü, kullanıcıların kimliklerini doğruladıktan sonra, sahip olmaları gereken yetkilendirmeyi aşarak, normalde erişim yetkisi olmayan fonksiyonları ve verilere erişebilmeleridir." Bu tanım, sorunun ciddiyetini ve kapsamını özetlemektedir.

Genişletmek için tıkla ...

// Kırık Erişim Kontrolü (Pseudocode)
function getUserProfile(userId) {
    // Kötü örnek: Sadece oturum açık mı diye kontrol et
    if (!isLoggedIn()) {
        return "Yetkilendirilmemiş!";
    }
    // Hatalı: userId'nin mevcut kullanıcının id'si olup olmadığı kontrol edilmiyor
    // veya kullanıcının bu userId'yi görüntüleme izni var mı diye bakılmıyor.
    profile = database.query("SELECT * FROM users WHERE id = " + userId);
    return profile;
}

// Güvenli Erişim Kontrolü (Pseudocode)
function getSecureUserProfile(requestedUserId, currentUserId) {
    if (!isLoggedIn()) {
        return "Yetkilendirilmemiş!";
    }
    // İyi örnek: Sadece kendi profilini veya yöneticinin diğer profilleri görmesine izin ver
    if (requestedUserId == currentUserId || isAdmin(currentUserId)) {
        profile = database.query("SELECT * FROM users WHERE id = " + requestedUserId);
        return profile;
    } else {
        return "Erişim Reddedildi: Yetkisiz İşlem.";
    }
}

• Veri Sızıntısı: Yetkisiz kişilerin hassas verilere (müşteri bilgileri, finansal veriler, kişisel veriler) erişmesi ve bunları çalması.
• Veri Bütünlüğünün Bozulması: Yetkisiz kullanıcıların verileri değiştirmesi veya silmesi.
• Ayrıcalık Yükselmesi: Normal kullanıcıların yönetici ayrıcalıkları kazanması, bu da tam sistem kontrolüne yol açabilir.
• İş Sürekliliğinin Bozulması: Kritik fonksiyonlara yetkisiz müdahale veya erişim, hizmet kesintilerine neden olabilir.
• Yasal ve İtibar Kaybı: Veri ihlalleri, GDPR gibi düzenlemeler nedeniyle büyük yasal cezalara ve şirket itibarında ciddi zedelenmelere yol açabilir.

• En Az Ayrıcalık Prensibi: Kullanıcılara ve sistemlere yalnızca görevlerini yerine getirmek için kesinlikle ihtiyaç duydukları minimum ayrıcalıklar verilmelidir.
• Varsayılan Reddedilen Politikası: Tüm erişim istekleri varsayılan olarak reddedilmeli ve yalnızca açıkça izin verilenler kabul edilmelidir. "Her şeyi reddet, izin verileni onayla."
• Sunucu Tarafı Kontrolleri: Erişim kontrolü kontrolleri daima güvenli bir şekilde sunucu tarafında veya güvenilir bir sunucusuz fonksiyonda uygulanmalı ve asla yalnızca istemci tarafında yapılmamalıdır.
• Benzersiz ve Doğrulanmış Tanımlayıcılar: Doğrudan nesne referansları (IDOR) için, tahmin edilemez ve güvenli bir şekilde oluşturulmuş, kullanıcıya özgü GUID'ler (Globally Unique Identifiers) kullanılabilir veya kullanıcı yetkilendirme kontrolü her istekle birlikte yapılmalıdır.
• API Erişim Kontrolü: Her API uç noktasında, isteği yapan kullanıcının istenen eylemi gerçekleştirmek için uygun yetkiye sahip olup olmadığı doğrulanmalıdır.
• Rol Tabanlı Erişim Kontrolü (RBAC): Kullanıcıları belirli rollere (örneğin, yönetici, editör, okuyucu) atayarak ve bu rollere belirli izinler tanımlayarak erişimi yönetmek, özellikle büyük ve karmaşık uygulamalarda erişim kontrolünün daha kolay ve yönetilebilir olmasını sağlar. Bu model, her bir kullanıcının tek tek yetkilerini tanımlamak yerine, rol üzerinden yetki ataması yaparak hem güvenliği artırır hem de yönetim yükünü azaltır.
• Yetkilendirme Kütüphaneleri ve Çerçeveleri: Sıfırdan yetkilendirme mekanizmaları geliştirmek yerine, güvenli bir şekilde tasarlanmış ve kapsamlı bir şekilde test edilmiş popüler yetkilendirme kütüphanelerini veya web çerçevelerinin sağladığı yerleşik yetkilendirme özelliklerini kullanmak, geliştiricilerin yaygın hatalar yapmasını önleyebilir. Bu kütüphaneler genellikle sektör standartlarını ve en iyi uygulamaları takip eder.
• Kapsamlı Testler: Uygulamaları otomatik güvenlik test araçları (DAST, SAST) ve manuel nüfuz testi ile düzenli olarak test etmek, erişim kontrolü zafiyetlerini erkenden tespit etmeye yardımcı olur. Özellikle tüm kullanıcı rolleri ve yetki seviyeleri için testler yapılmalıdır.
• Günlük Kaydı ve İzleme: Başarısız yetkilendirme denemeleri gibi erişim kontrolü olaylarını detaylı bir şekilde kaydetmek ve bu günlükleri sürekli izlemek, şüpheli etkinlikleri erken aşamada tespit etmeye yardımcı olur. Anormal erişim denemeleri için alarmlar kurulmalıdır.
• Güvenli Geliştirme Yaşam Döngüsü (SDLC): Güvenliği, geliştirme yaşam döngüsünün her aşamasına entegre etmek (tasarımdan dağıtıma kadar), erişim kontrolü sorunlarının önlenmesinde kritik rol oynar.