Haricî Dosyanın Bütünlüğünü Anlayın
- Beklenen ÖzetOnaylanan dosya bilgisi
- İndirilen DosyaTarayıcıda eşleşme denetimi
- Sürüm Değişimiİşlevi birlikte inceleme
Özgün kavram şemasıdır; gerçek müşteri ortamında güvenlik testi yapıldığı anlamına gelmez.
SRI Ne Anlama Gelir?
SRI, Subresource Integrity ifadesinin kısaltmasıdır. Tarayıcının yüklediği belirli bir dosyanın beklenen içerikle uyuşmasını denetleyen güvenlik özelliğidir. Dosyanın kriptografik özeti, sayfada belirtilen bütünlük değeriyle karşılaştırılır. Bu değerle uyuşmayan içerik kullanılmaz.
Bir e-ticaret mağazası farklı sağlayıcılardan betik veya stil dosyası alabilir. İşletme için önemli soru, onaylanan dosyanın sonradan beklenmedik biçimde değişip değişmediğidir. Sağlayıcının adı tanıdık olsa da dosyanın içeriği ayrıca değerlendirilir. SRI bu ihtiyacın belirli bir bölümünü karşılar; bütün mağazanın güvenliğini tek başına doğrulayan bir sertifika değildir. Kavram, sayfadaki bir dosyanın beklenen sürümle ilişkisini anlamak için kullanılmalıdır.
İndirilen Dosya ve Beklenen Özet
Desteklenen betik ve stil bağlantılarında bütünlük bilgisi tanımlanabilir. Tarayıcı aldığı dosyanın özetini değerlendirerek beklenen değerle eşleşip eşleşmediğine karar verir. Bir CDN üzerinden alınan uygun dosyanın başka kökenden kullanılması, çapraz köken erişimi koşullarının da sağlanmasını gerektirir.
Bütünlük kontrolü olan bir dosyanın yüklenmemesinde tek olası neden saldırı değildir. Dosya sağlayıcısı yeni bir sürüm yayımlamış veya beklenen özet eski sürümde kalmış olabilir. İşletmenin destek ekibi yalnız dosyanın adresini değil, kullanılan sürümü ve değişiklik kaydını da istemelidir. Güvenlik kontrolünü kaldırmak, uyumsuzluğun nedenini açıklamadan dosyanın çalışmasını sağlıyor gibi görünebilir; kabul kararında bu fark açıkça belirtilmelidir.
Dosya Bütünlüğünü Okumak
AdPix’in özgün şeması, uygun bir dosyanın bütünlük özetiyle karşılaştırılmasını anlatır. Eşleşme, dosyanın tüm davranışlarının güvenli olduğu anlamına gelmez. Gerçek ortamda güvenlik testi sonucu olarak sunulmaz.
Tema Güncellemesinde Kurgusal Bir Örnek
Varsayımsal bir mağazada ürün görselini büyüten yardımcı dosya yenilenmiş olsun. Sayfadaki bütünlük kaydı önceki dosyayı tanıyorsa ziyaretçi galeride beklediği davranışı göremeyebilir. Bu olay, ürün fotoğraflarının mutlaka silindiğini veya ödeme sisteminin bozulduğunu göstermez.
AdPix’in önerdiği kayıt, değişen dosyayı ve etkilenen kullanıcı davranışını birlikte anlatır. Hangi tema sürümünün yayında olduğu, sorun görülen sayfa ve güncelleme öncesindeki durum not edilir. İnceleme tamamlanmadan farklı betikleri sırayla kaldırmak, ilk hataya yeni bağımlılık sorunları ekleyebilir. Örnek, belirli bir mağazada yapılmış test sonucu değildir; işletmeyle teknik ekip arasında sorunun nasıl daraltılabileceğine ilişkin editoryal bir açıklamadır.
Bütünlük Kontrolünün Kapsamadıkları
Beklenen özetle eşleşen dosya, daha önce onaylanan dosyanın aynısı olabilir; bu, dosyanın bütün davranışlarının işletme için uygun olduğunu kanıtlamaz. Başlangıçta güvenilmeyen bir içeriğin özetini kaydetmek onu güvenilir hâle getirmez. HTTPS ve erişim kontrolleri gibi diğer gereksinimler ayrıca değerlendirilir.
İşletmenin dosya envanteri hangi ekibin hangi yardımcı bileşeni yönettiğini de söylemelidir. Bir galeri, analiz aracı ve ödeme bileşeni aynı ticari önceliğe sahip olmayabilir. Her dosyaya aynı müdahalenin uygulanması kullanıcı deneyimini bozabilir. SRI’nin varlığı, müşteri verisinin hiçbir yere aktarılmadığı veya tüm kişisel veri yükümlülüklerinin karşılandığı şeklinde sunulmamalıdır. Bu değerlendirmeler dosya eşleşmesinin ötesinde ayrı bilgi gerektirir.
Değişiklik Sonrası Kabul Kaydı
Haricî dosyanın sürümü değiştiğinde beklenen bütünlük bilgisi ve sayfadaki işlev birlikte ele alınır. AdPix’in önerdiği kabul notu dosyanın sorumlusunu, değişikliğin amacını ve kontrol edilen davranışı içerir. Gerçek müşteri bilgisi bu notun içine gereksiz biçimde taşınmaz.
Örnekteki görsel galerisi için amaç, ziyaretçinin ürün görselini açıp kapatabilmesinin doğrulanmasıdır. Dosyanın ağdan inmesi tek başına bu davranışın sorunsuz olduğunu göstermez. İşletme daha sonra aynı sorunla karşılaştığında hangi kaydın güncellendiğini ve hangi işlevin incelendiğini görebilmelidir. Bu yaklaşım, güvenlik özelliğinin adını bir onay rozeti gibi kullanmak yerine gerçek dosya ve kullanıcı davranışıyla ilişkilendirilmesini sağlar.
Bu Maddedeki Terimler1 Terim
Kısa açıklamaları burada okuyabilir, ayrıntılar için sözlüğe geçebilirsiniz.
- CDN (İçerik Dağıtım Ağı)
- CDN (içerik dağıtım ağı), bir sitenin görsel, betik ve stil dosyalarının dünyanın farklı bölgelerindeki sunucularda önbelleğe alınarak ziyaretçiye en yakın noktadan sunulduğu sunucu ağıdır.
Bu Konuda Nasıl Destek Oluyoruz?
AdPix’in bu alandaki hizmet kapsamını ve çalışma sürecini inceleyin.