Kimlik doğrulama güvenliği: parola, MFA ve giriş akışları
Parolaların nasıl saklanması gerektiğini, giriş akışındaki ifşa ve kaba kuvvet risklerini ve MFA ile geçiş anahtarlarının doğru kurulumunu kodda ve Burp’te uygularsın.
Seviye 201 · 17 ders · 15 pratik lab
Dersler
Parolalar
- Kimlik doğrulama ve yetkilendirme: kim olduğun ve ne yapabildiğin
- Parolayı saklamak: bcrypt, scrypt, Argon2 ve tuz
- Parola politikası: uzunluk, sızmış parola listeleri ve NIST önerileri
- Kodda zayıf parola özetini bulmak ve taşımak
- Kısa görev: MD5 ile saklanan parolaları oturum açılışında Argon2’ye taşı
Giriş akışı
- Kullanıcı adı ifşası: farklı hata mesajları ve yanıt süreleri
- Kaba kuvvet ve parola doldurmaya karşı: hız sınırı, kilitleme, CAPTCHA
- Giriş mantığı hataları: atlanan adımlar ve yanlış koşullar
- "Beni hatırla" belirteçlerini güvenli kurmak
- Hesap kurtarma: güvenlik soruları, e-posta ve destek hattı riskleri
- Kısa görev: lab uygulamasında kullanıcı adı ifşasını Burp ile kanıtla ve kapat
Çok faktörlü doğrulama
- Faktörler: bildiğin, sahip olduğun ve olduğun şey
- TOTP’yi doğru kurmak: gizli anahtar, saat kayması ve yedek kodlar
- MFA akışı hataları: atlanabilen ikinci adım ve sınırsız deneme
- Geçiş anahtarları ve WebAuthn: oltalamaya dayanıklı giriş
- Giriş saldırılarını günlükte görmek: başarısız deneme desenleri
- Bitirme görevi: bir giriş akışını baştan sona sertleştir ve yeniden test et
Pratik lablar
- Düz metin parolalar veritabanında: Lab veritabanında parolaların düz metin saklandığını göster ve kayıt kodunu Argon2 ile özetleyecek şekilde değiştir.
- Tuzsuz SHA-1 özetlerini taşı: Tuzsuz SHA-1 ile saklanan parolaları kullanıcı giriş yaptıkça bcrypt'e taşıyan kodu yaz ve eski özetlerin azaldığını göster.
- Sızmış parola listesiyle kayıt kontrolü: Kayıt formuna sızmış parola listesi kontrolü ve uzunluk kuralı ekle, karmaşıklık kuralını kaldır ve kullanıcı mesajlarını test et.
- Kod tabanında zayıf özet avı: Lab kod tabanında parola için kullanılan tüm zayıf özet çağrılarını bul, ortak bir güvenli işleve taşı ve testlerle doğrula.
- Farklı hata mesajı kullanıcıyı ele veriyor: Giriş sayfasının var olmayan kullanıcıya farklı mesaj döndüğünü kanıtla ve tek tip mesaja geçir.
- Kilitlemesi olmayan giriş: Sınırsız denemeye izin veren girişe kademeli gecikme ve hesap başına sınır ekle ve kilidin hizmet kesintisine dönüşmediğini test et.
- Tahmin edilebilir beni hatırla belirteci: Kullanıcı adından üretilen beni hatırla belirtecini kanıtla ve rastgele, sunucuda özetlenmiş ve süreli bir belirteçle değiştir.
- Hesap kurtarmada atlanan adım: Parola sıfırlama akışında güvenlik sorusu adımının atlanabildiğini kanıtla ve akış durumunu sunucuda takip ederek kapat.
- TOTP gizli anahtarı yanıtta sızıyor: MFA kurulum yanıtında gizli anahtarın gereğinden fazla kez döndüğünü bul ve yalnızca kurulum anında gösterilecek şekilde düzelt.
- İkinci adım atlanabiliyor: Parola doğrulandıktan sonra MFA sayfasına uğramadan korumalı sayfalara erişilebildiğini kanıtla ve oturumu MFA tamamlanana kadar kısıtla.
- Sınırsız TOTP denemesi ve saat penceresi: TOTP doğrulamasında deneme sınırı olmadığını ve pencerenin çok geniş olduğunu göster, ikisini de düzelt ve yedek kodları tek kullanımlık yap.
- WebAuthn ile giriş: kaydı doğru doğrula: Lab'daki WebAuthn kaydında köken ve meydan okuma doğrulamasının eksik olduğunu bul ve sunucu tarafı doğrulamayı tamamla.
- Başarısız giriş deseni: parola püskürtme: Kimlik doğrulama günlüğünde birçok hesaba az sayıda deneme yapan kaynağı bul ve zaman aralığını raporla.
- Doldurma saldırısı ve başarılı giriş: Parola doldurma dalgasının içinden başarıyla giriş yapan hesapları ayıkla ve bu hesaplar için alınacak önlemleri listele.
- Giriş saldırıları için uyarı ve sertleştirme: Giriş akışını sertleştir, püskürtme ve doldurma için iki uyarı kuralı yaz ve tekrar oynatılan saldırı trafiğiyle ikisini test et.
Kurs hakkında
Parolaların nasıl saklanması gerektiğini, giriş akışındaki ifşa ve kaba kuvvet risklerini ve MFA ile geçiş anahtarlarının doğru kurulumunu kodda ve Burp’te uygularsın.
Ne öğreneceksin
- Parolalar
- Giriş akışı
- Çok faktörlü doğrulama
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.