Mobil Uygulama Güvenliği: Cihazdan Sunucuya Risk Zinciri

Mobil Güvenlik Neden Diğer Uygulamalardan Daha Zordur?

Mobil uygulamalar, klasik web uygulamalarına göre çok daha karmaşık bir tehdit ortamına sahiptir çünkü:

1. 1. Cihaz kurumun kontrolünde değildir
   2. Uygulama tersine mühendisliğe açıktır
   3. Ağ bağlantıları her ortamda değişir
   4. Kullanıcı davranışı öngörülemezdir

Bu da mobil uygulamaları saldırganlar için son derece cazip hale getirir.

Risk Zincirinin İlk Halkası: Kullanıcı Cihazı

Mobil güvenliğin başladığı yer sunucu değil, kullanıcının cebidir.

1. Rootlu / Jailbreak’li Cihazlar

Root veya jailbreak yapılmış cihazlarda:

1. 1. Uygulama sandbox yapısı bozulur
   2. Bellek manipülasyonu mümkündür
   3. Hassas veriler kolayca okunabilir

Birçok saldırı, uygulamayı değil cihazı hedef alarak başlar.

2. Zararlı Uygulamalar ve Overlay Saldırıları

Kullanıcının cihazında yüklü olan başka bir uygulama:

1. 1. Ekranı izleyebilir
   2. Klavye girdilerini yakalayabilir
   3. Sahte ekranlar (overlay) oluşturabilir

Özellikle mobil bankacılık ve kurumsal uygulamalar için bu, ciddi bir tehdittir.

3. Cihaz Üzerinde Tutulan Hassas Veriler

Sık yapılan hatalar:

1. 1. Token’ların plain-text saklanması
   2. Local storage / SharedPreferences kullanımı
   3. SQLite içinde şifreli olmayan veriler

Cihaz ele geçirildiğinde, saldırgan için sunucuya gitmeye bile gerek kalmaz.

Uygulama Katmanı: Görünmeyen Açıklar

Mobil uygulama kodu, saldırgan açısından şeffaf bir kaynaktır.

1. Tersine Mühendislik (Reverse Engineering)

APK veya IPA dosyaları:

1. 1. Kolayca decompile edilebilir
   2. API endpoint’leri ortaya çıkar
   3. Gizli anahtarlar ifşa olabilir

Kod gizleme (obfuscation) yapılmayan uygulamalar, saldırganlara adeta yol haritası sunar.

2. Hardcoded Bilgiler

En tehlikeli hatalardan bazıları:

1. 1. API key’lerin uygulama içine gömülmesi
   2. Test ortamı kullanıcılarının kalması
   3. Gizli URL’lerin açıkta bulunması

Bu bilgiler ele geçirildiğinde saldırgan, yetkili kullanıcı gibi davranabilir.

3. Yetki Kontrollerinin İstemciye Bırakılması

“Bu buton adminlere görünür” demek, güvenlik değildir.

Eğer:

1. 1. Yetki kontrolü client tarafında yapılıyorsa
   2. Backend tarafında doğrulama yoksa

mobil uygulama, saldırganın istediği gibi yönlendirebileceği bir araca dönüşür.

Ağ Katmanı: Mobil Trafik En Savunmasız Alan

Mobil kullanıcılar:

1. 1. Açık Wi-Fi
   2. Kafe ağı
   3. Havalimanı bağlantısı

gibi güvenli olmayan ortamlarda uygulamayı kullanır.

1. Man-in-the-Middle (MitM) Saldırıları

TLS yanlış yapılandırıldıysa:

1. 1. Trafik dinlenebilir
   2. API çağrıları manipüle edilebilir
   3. Kimlik bilgileri çalınabilir

Sadece HTTPS kullanmak yeterli değildir. Certificate pinning gibi ek önlemler şarttır.

2. Proxy ve Trafik Analizi

Saldırganlar:

1. 1. Uygulamayı proxy arkasına alır
   2. Tüm API çağrılarını inceler
   3. Yetki ve iş mantığı açıklarını keşfeder

Bu aşama genellikle zincirin en kritik kırılma noktasıdır.

API Katmanı: Saldırıların Gerçek Hedefi

Mobil uygulamalar çoğu zaman yalnızca bir “taşıyıcıdır”. Asıl hedef, API’lerdir.

1. Yetersiz Kimlik Doğrulama

1. 1. Token süresi kontrol edilmiyorsa
   2. Refresh mekanizması zayıfsa
   3. IP / cihaz bağlamı yoksa

API’ler kolayca suistimal edilir.

2. Yetkisiz Veri Erişimi (BOLA / IDOR)

Sık karşılaşılan senaryo:

1. 1. Kullanıcı kendi verisini çekiyor
   2. ID değeri değiştiriliyor
   3. Başkasının verisi görüntüleniyor

Bu tür açıklar, OWASP Mobile Top 10’un da temel maddelerindendir.

3. Rate Limiting Eksikliği

Rate limit yoksa:

1. 1. Brute-force saldırıları
   2. Otomatik veri çekme
   3. Servis dışı bırakma (DoS)

çok daha kolay hale gelir.

Sunucu ve Backend: Zincirin Son Ama Kritik Halkası

Mobil uygulama güvenliği, backend zayıfsa anlamsızdır.

1. Loglama ve İzleme Eksikliği

Mobil kaynaklı saldırılar genellikle:

1. 1. Dağıtık gelir
   2. Normal trafik gibi görünür

Loglama yoksa:

1. 1. Saldırı fark edilmez
   2. Hasar ölçülemez
   3. Müdahale gecikir

2. Güvenli Olmayan İş Mantığı

Backend tarafında:

1. 1. İş kuralları doğru uygulanmıyorsa
   2. Client’tan gelen her şeye güveniliyorsa

mobil uygulama, saldırganın kontrolüne girer.

Risk Zinciri Neden Bu Kadar Önemli?

Çünkü saldırganlar tek bir noktaya değil, en zayıf halkaya odaklanır.

1. 1. Güçlü backend + zayıf mobil uygulama
   2. Güçlü TLS + zayıf cihaz güvenliği
   3. Güçlü kod + zayıf API

Sonuç hep aynıdır: İhlal

Mobil güvenlik, parça parça değil, uçtan uca düşünülmelidir.

Kurumlar Mobil Uygulama Güvenliğini Nasıl Ele Almalı?

1. 1. Güvenliği tasarım aşamasında düşünmek
   2. Mobile özel sızma testleri yapmak
   3. OWASP Mobile Top 10’u referans almak
   4. Loglama, izleme ve anomali tespiti uygulamak
   5. Cihaz, uygulama ve sunucu katmanlarını birlikte değerlendirmek

Sonuç: Mobil Uygulama Güvenliği Bir Zincirdir

Mobil uygulama güvenliği:

1. 1. Sadece kod yazmak değildir
   2. Sadece SSL kullanmak değildir
   3. Sadece mağazaya uygulama koymak değildir

Bu, cihazdan sunucuya uzanan bir risk zinciridir.

Ve zincir, en zayıf halkası kadar güçlüdür.

Gerçek güvenlik; bu halkaların tamamını görmek, ölçmek ve sürekli güçlendirmekle mümkündür.