{"id":27059,"date":"2024-07-15T09:19:01","date_gmt":"2024-07-15T09:19:01","guid":{"rendered":"https:\/\/www.gencayyildiz.com\/blog\/?p=27059"},"modified":"2024-07-15T09:19:01","modified_gmt":"2024-07-15T09:19:01","slug":"jwtjson-web-token-pasetoplatform-agnostic-security-tokens-kapsamli-karsilastirmasini-yapalim","status":"publish","type":"post","link":"https:\/\/www.gencayyildiz.com\/blog\/jwtjson-web-token-pasetoplatform-agnostic-security-tokens-kapsamli-karsilastirmasini-yapalim\/","title":{"rendered":"JWT(JSON Web Token) & PASETO(Platform-Agnostic Security Tokens) Kapsaml\u0131 Kar\u015f\u0131la\u015ft\u0131rmas\u0131n\u0131 Yapal\u0131m"},"content":{"rendered":"
<\/div>\n

Merhaba,<\/p>\n

G\u00fcn\u00fcm\u00fczde modern web uygulamalar\u0131n\u0131n g\u00fcvenlik yap\u0131lanmalar\u0131 token-based authentication’a dayanmakta ve bu, geleneksel session-based authentication’a nazaran daha geli\u015fmi\u015f bir yap\u0131lanma sa\u011flamaktad\u0131r. Bizler bu g\u00fcne kadar \u00e7e\u015fitli token yakla\u015f\u0131mlar\u0131 aras\u0131ndan basitli\u011fi, uygulama kolayl\u0131\u011f\u0131 ve en \u00e7okta pop\u00fclaritesi nedeniyle yayg\u0131n olarak JWT(JSON Web Token)’yi tercih etmi\u015f bulunmaktay\u0131z. Amma velakin bu \u00f6n kabuller do\u011frultusunda JWT yan\u0131nda olas\u0131 g\u00fcvenlik a\u00e7\u0131klar\u0131 gibi endi\u015feler getirmekte ve bu durum biz yaz\u0131l\u0131m geli\u015ftiricileri daha sa\u011flam alternatif aray\u0131\u015flar\u0131na s\u00fcr\u00fcklemektedir. Yapt\u0131\u011f\u0131m\u0131z g\u00f6zlemlerden ve kimi tecr\u00fcbeli yaz\u0131l\u0131mc\u0131lar\u0131n edindi\u011fi deneyimlerden yola \u00e7\u0131karak, PASETO(Platform-Agnostic Security Tokens)’nun, JWT’nin eksikliklerini do\u011frudan ele alan daha iyi bir \u00e7\u00f6z\u00fcm olarak ortaya \u00e7\u0131kt\u0131\u011f\u0131 ve daha g\u00fcvenli bir temel \u00fczerinden davran\u0131\u015f sergiledi\u011fi kanaatine varm\u0131\u015f bulunuyoruz. Haliyle bizler bu i\u00e7eri\u011fimizde PASETO ile JWT aras\u0131ndaki avantaj ve dezavantajlar\u0131 masaya yat\u0131racak ve b\u00f6ylece g\u00fc\u00e7l\u00fc ve zay\u0131f y\u00f6nlerini analiz ederek projelerde hangisinin tercih edilmesi gerekti\u011fine dair bilin\u00e7li kararlar verilebilmesi i\u00e7in do\u011fru bilgilerle zihinlerimizi donataca\u011f\u0131z ve biryandan da yap\u0131land\u0131rma s\u00fcre\u00e7lerini ele alarak kapsaml\u0131 bir kar\u015f\u0131la\u015ft\u0131rmada bulunaca\u011f\u0131z.<\/p>\n

\u0130lk olarak token-based authentication’\u0131n \u00e7al\u0131\u015fma mant\u0131\u011f\u0131n\u0131 ele alal\u0131m. Ard\u0131ndan bu mant\u0131k do\u011frultusunda JWT ve PASETO teknolojilerinin davran\u0131\u015flar\u0131n\u0131 detayland\u0131ral\u0131m. B\u00f6ylece iki yap\u0131 aras\u0131ndaki fark\u0131 daha rahat ortaya koyabilir ve isti\u015farelerimizi yapabiliriz.<\/p>\n

Token-Based Authentication Nas\u0131l \u00c7al\u0131\u015fmaktad\u0131r?<\/h3>\n

\"JWT(JSON<\/a>

Token-Based Authentication Ak\u0131\u015f \u015eemas\u0131<\/p><\/div>Modern uygulamalarda kullan\u0131c\u0131lar\u0131n API’lere eri\u015fimini y\u00f6netmek i\u00e7in g\u00fcvenli ve verimli bir yol olarak tercih edilen token-based authentication yakla\u015f\u0131m\u0131, kullan\u0131c\u0131n\u0131n bir kere kimli\u011fi do\u011fruland\u0131ktan sonra bir token almas\u0131 ve bu token’\u0131 kullanarak eri\u015fim sa\u011flamas\u0131 davran\u0131\u015f\u0131na dayanmaktad\u0131r.<\/p>\n

Token-based authentication’\u0131n ak\u0131\u015f mant\u0131\u011f\u0131 ad\u0131m ad\u0131m \u015fu \u015fekildedir;<\/p>\n

    \n
  1. Kullan\u0131c\u0131 Giri\u015f Yapar<\/strong><\/em>
    \nKullan\u0131c\u0131, kullan\u0131c\u0131 ad\u0131 ve \u015fifre gibi kimlik bilgilerini kullanarak sunucuya giri\u015f talebinde bulunur.\n<\/li>\n
  2. Sunucu Kimli\u011fi Do\u011frular ve Token’\u0131 \u00dcretir<\/strong><\/em>
    \nSunucu, kullan\u0131c\u0131n\u0131n kimlik bilgilerini kontrol eder. E\u011fer kimlik do\u011frulama ba\u015far\u0131l\u0131ysa, bu kullan\u0131c\u0131ya \u00f6zel olarak tasarlanm\u0131\u015f ve kullan\u0131c\u0131n\u0131n kimli\u011finin ve eri\u015fim haklar\u0131n\u0131n g\u00fcvenli bir temsili olarak i\u015flev g\u00f6recek olan, i\u00e7erisinde kullan\u0131c\u0131 bilgilerini ve izinlerini i\u00e7eren benzersiz, dijital olarak imzalanm\u0131\u015f bir token olu\u015fturulur. \u0130\u015fte bu token genellikle JWT format\u0131nda olmaktad\u0131r.\n<\/li>\n
  3. Sunucu Token’\u0131 Kullan\u0131c\u0131ya G\u00f6nderir<\/strong><\/em>
    \nDo\u011frulaman\u0131n ba\u015far\u0131l\u0131 olmas\u0131 durumunda, sunucu bu token’\u0131 kullan\u0131c\u0131ya g\u00f6nderir.\n<\/li>\n
  4. Kullan\u0131c\u0131 Token’\u0131 Depolar<\/strong><\/em>
    \nKullan\u0131c\u0131 sunucudan edindi\u011fi token’\u0131 sonradan kullanabilmek i\u00e7in depolayacakt\u0131r. Bu i\u015flem genellikle browser \u00fczerinden local storage yahut session storage b\u00f6l\u00fcmlerinde ger\u00e7ekle\u015ftirilir. E\u011fer ki client bir web uygulamas\u0131 de\u011fil de mobil yahut masa\u00fcst\u00fc bir yaz\u0131l\u0131msa genellikle haf\u0131zada depolanarak saklama i\u015flemi ger\u00e7ekle\u015ftirilir.\n<\/li>\n
  5. Her \u0130stekte Token G\u00f6nderilir<\/strong><\/em>
    \nKullan\u0131c\u0131, korumal\u0131 bir kayna\u011fa yahut API’ye eri\u015fmek istedi\u011finde bu token’\u0131 HTTP request header’\u0131na Authorization key’i e\u015fli\u011finde ekler ve sunucuya g\u00f6nderir.\n<\/li>\n
  6. Sunucu Token’\u0131 Do\u011frular<\/strong><\/em>
    \nSunucu gelen isteklerdeki token de\u011ferlerini do\u011frular. E\u011fer token ge\u00e7erliyse sunucu iste\u011fi i\u015fler ve kullan\u0131c\u0131n\u0131n istedi\u011fi kayna\u011fa eri\u015fim izni verir. Yok e\u011fer ge\u00e7ersizse i\u015fte o taktirde eri\u015fim engellenir.\n<\/li>\n
  7. Token’\u0131n S\u00fcresi Dolabilir<\/strong><\/em>
    \nToken genellikle belirli bir s\u00fcre i\u00e7in ge\u00e7erli olu\u015fturulmaktad\u0131r. S\u00fcresi dolmu\u015f bir token ile yap\u0131lan istek neticesinde do\u011frulama sa\u011flanamayaca\u011f\u0131 i\u00e7in kayna\u011fa eri\u015fim ger\u00e7ekle\u015ftirilemez.\n<\/li>\n<\/ol>\n

    \u015eimdi hususi olarak JWT ile PASETO’yu incelemeye ge\u00e7ebiliriz.<\/p>\n

    JWT Nedir? Nas\u0131l \u00c7al\u0131\u015fmaktad\u0131r?<\/h3>\n

    JWT(JSON Web Token), iki sistem aras\u0131nda g\u00fcvenli bilgi al\u0131\u015fveri\u015fi i\u00e7in kullan\u0131lan, bilgilerin JSON format\u0131nda kodlan\u0131p dijital olarak imzaland\u0131\u011f\u0131 bir standartt\u0131r. Genellikle kimlik do\u011frulama, yetkilendirme ve \u00f6zel kaynaklara eri\u015fim izni s\u00fcre\u00e7lerinde s\u0131kl\u0131kla kullan\u0131lmaktad\u0131r. Herhangi bir merkezi otoriteye ba\u011f\u0131ml\u0131 olmamas\u0131, distributed sistemlerde kullan\u0131lmas\u0131n\u0131 kolayla\u015ft\u0131rmaktad\u0131r. Yap\u0131sal olarak i\u00e7eri\u011fimizin devam\u0131nda daha da detayland\u0131raca\u011f\u0131m\u0131z Header<\/em>, Payload<\/em> ve Signature<\/em> olmak \u00fczere \u00fc\u00e7 ana bile\u015fenden olu\u015fmaktad\u0131r. \u015eimdi gelin JWT’yi bu yap\u0131ta\u015flar\u0131 \u00fczerinden inceleyelim;<\/p>\n\n\n\n\n\n\n\n\n
    Format<\/th>\n<\/tr>\n<\/thead>\n
    \nJWT, yukar\u0131daki sat\u0131rlarda da bahsedildi\u011fi \u00fczere header, payload ve signature olmak \u00fczere \u00fc\u00e7 par\u00e7adan olu\u015fmaktad\u0131r. Bu par\u00e7alar, Base64url format\u0131nda kodlanmakta ve birbirlerinden nokta ile ayr\u0131lmaktad\u0131rlar.\"JWT(JSON<\/a>\n<\/td>\n<\/tr>\n
    Header<\/strong><\/td>\nHeader’da \u00fcretilen token’\u0131n t\u00fcr\u00fc ve imzalama algoritmas\u0131 belirtilmektedir.<\/td>\n<\/tr>\n
    Payload<\/strong><\/td>\nToken i\u00e7erisinde ta\u015f\u0131nacak olan kullan\u0131c\u0131 bilgileri, yetkiler vs. gibi t\u00fcm veriler payload k\u0131sm\u0131nda bulunmaktad\u0131r.<\/td>\n<\/tr>\n
    Signature<\/strong><\/td>\nHeader ve Payload’n Base64url format\u0131nda kodlanarak, bir secret key ile imzalanm\u0131\u015f halidir.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
    JWT’nin G\u00fcvenlik A\u00e7\u0131s\u0131ndan Endi\u015feleri Nelerdir?<\/h5>\n

    JWT, bir\u00e7ok avantaj sunarken do\u011fru \u015fekilde uygulanmad\u0131\u011f\u0131 taktirde ortaya \u00e7\u0131kabilecek potansiyel tuzaklar ve g\u00fcvenlik endi\u015feleri s\u00f6z konusu olabilmektedir. Misal olarak, JWT imzalan\u0131rken algoritma se\u00e7iminde esneklik sa\u011flamaktad\u0131r ve bu esneklik ‘hi\u00e7biri’ se\u00e7ene\u011fi de dahil olabilecek derecede geni\u015f s\u0131n\u0131rlara kadar dayanabilmektedir. E\u011fer ki geli\u015ftiriciler, uygulamalar\u0131n\u0131 yanl\u0131\u015fl\u0131kla imzas\u0131z JWT’leri kabul edecek \u015fekilde yap\u0131land\u0131r\u0131rlarsa i\u015fte bu durumda ciddi bir g\u00fcvenlik zafiyeti s\u00f6z konusu olabilmektedir.<\/p>\n

    Bunun d\u0131\u015f\u0131nda JWT’ler stateless oldu\u011fu i\u00e7in oturum bilgisini tutmak i\u00e7in sunucu \u00fczerinde depolanmazlar. \u00c7\u00fcnk\u00fc bilindi\u011fi \u00fczere JWT’lerin ge\u00e7erlilik s\u00fcresi vard\u0131r. Hal b\u00f6yleyken bir kullan\u0131c\u0131 oturumunu kapatt\u0131\u011f\u0131 taktirde JWT ge\u00e7ersiz k\u0131l\u0131nm\u0131\u015f olmayacak ve s\u00fcresi bitene kadar hala kullan\u0131labilir olacakt\u0131r. \u0130\u015fte bu durumda JWT’leri ge\u00e7ersiz k\u0131lmak i\u00e7in geli\u015ftiriciler a\u00e7\u0131s\u0131ndan ekstradan u\u011fra\u015f gerecektir.<\/p>\n

    PASETO Nedir? Nas\u0131l \u00c7al\u0131\u015fmaktad\u0131r?<\/h3>\n

    PASETO(Platform-Agnostic Security Tokens), yukar\u0131daki sat\u0131rlarda JWT ile ilgili bahsetti\u011fimiz endi\u015felerin aksine daha basit ve g\u00fcvenilir bir alternatiftir diyebiliriz. 2018 y\u0131l\u0131nda Paragon Initiative Enterprises<\/em> taraf\u0131ndan tan\u0131t\u0131lm\u0131\u015ft\u0131r. Ta\u015f\u0131nabilir ve platformdan ba\u011f\u0131ms\u0131z bir \u015fekilde kullan\u0131lmak \u00fczere tasarlanm\u0131\u015f bir token yap\u0131s\u0131 sunmaktad\u0131r.<\/p>\n

    PASETO davran\u0131\u015fsal olarak iki modda \u00e7al\u0131\u015fmaktad\u0131r;<\/p>\n\n\n\n\n\n
    Yerle\u015ftirilmi\u015f (Embedded) Mod<\/th>\nD\u0131\u015fa Aktar\u0131labilir (Exportable) Mod<\/th>\n<\/tr>\n<\/thead>\n
    Simetrik key’lerle \u00e7al\u0131\u015fan token olu\u015fturur.<\/td>\nAsimetrik key’lerle \u00e7al\u0131\u015fan token olu\u015fturur.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    Ayr\u0131ca PASETO, Local Tokens<\/em> ve Public Tokens<\/em> olmak \u00fczere iki farkl\u0131 token amac\u0131na sahip yakla\u015f\u0131m sergileyebilmektedir;<\/p>\n\n\n\n\n\n
    Local Tokens<\/th>\nPuclic Tokens<\/th>\n<\/tr>\n<\/thead>\n
    Bu token’lar, state bilgisi oldu\u011fundan dolay\u0131 sunucu taraf\u0131ndan g\u00fcvenli bir \u015fekilde depolanabilmektedirler.<\/td>\nBu token’lar ise t\u0131pk\u0131 JWT’de oldu\u011fu gibi stateless uygulamalar ve public-key cryptography i\u00e7eren durumlar i\u00e7in tasarlanm\u0131\u015ft\u0131r. Bundan dolay\u0131 sunucu taraf\u0131 depolamaya ihtiya\u00e7 duyulmaks\u0131z\u0131n g\u00fcvenli bir \u015fekilde iletilerek, do\u011frulanabilmektedirler.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    PASETO, hem local hem de puclic token’lar da a\u015fa\u011f\u0131daki gibi \u00fc\u00e7 b\u00f6l\u00fcmden olu\u015fan bir yap\u0131ya sahiptir;<\/p>\n\n\n\n\n\n
    Header<\/th>\nPayload<\/th>\nFooter<\/th>\n<\/tr>\n<\/thead>\n
    Bu b\u00f6l\u00fcm, ad\u0131ndan da anla\u015f\u0131laca\u011f\u0131 \u00fczere ilgili token’\u0131n kullan\u0131lan \u015fifreleme algoritmas\u0131yla birlikte PASETO s\u00fcr\u00fcm\u00fcn\u00fc ve amac\u0131n\u0131(local&public) tan\u0131mlar.<\/td>\nToken’da ki verileri i\u00e7erir.<\/td>\nBu k\u0131s\u0131m ek meta verilerini ta\u015f\u0131mak i\u00e7in kullan\u0131labilir. Token’\u0131n do\u011frulama s\u00fcrecine dahil edilmedi\u011fi \u00f6zellikle bilinmelidir.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    PASETO t\u00fcm bu \u00f6zelliklerinin yan\u0131nda token’lar\u0131n \u015fifrelenmesi ve imzalanmas\u0131 i\u00e7in g\u00fcvenli kriptografik algoritmalardan istifade etmekte ve b\u00f6ylece token’lar\u0131n gizlili\u011fini koruyarak, b\u00fct\u00fcnl\u00fc\u011f\u00fcn\u00fc sa\u011flamaktad\u0131r.<\/p>\n

    PASETO’nun JWT’ye nazaran g\u00fcvencesi, varsay\u0131lan olarak g\u00fcvenli olacak \u015fekilde tasarlanm\u0131\u015f olmas\u0131d\u0131r. Hat\u0131rlarsan\u0131z e\u011fer JWT’de ise g\u00fcvenlik tamamen developer taraf\u0131ndan do\u011fru yap\u0131land\u0131rmaya ba\u011fl\u0131d\u0131r. Hangi token yap\u0131s\u0131n\u0131 kullan\u0131rsan\u0131z kullan\u0131n PASETO’da g\u00fcvenlik uzmanlar\u0131 taraf\u0131ndan se\u00e7ilmi\u015f ve test edilmi\u015f belirli algoritmalar sabitlenmi\u015ftir ve aralar\u0131ndan birinin kullan\u0131lmas\u0131 elzemdir. B\u00f6ylece JWT’de ki algoritma belirtmeksizin kullan\u0131m durumu gibi bir zafiyet kesinlikle ortadan kald\u0131r\u0131lmakta ve biryandan da geli\u015ftiriciler a\u00e7\u0131s\u0131ndan yanl\u0131\u015f yahut g\u00fcvensiz se\u00e7eneklerin se\u00e7ilme ihtimali de t\u00f6rp\u00fclenerek g\u00fcvenilirlik durumu daha idealize hale getirilmi\u015f olmaktad\u0131r.<\/p>\n

    Tabi burada token amac\u0131na g\u00f6re kullan\u0131lan algoritma yap\u0131lar\u0131nda da bir genelleme yap\u0131labilmektedir. \u015e\u00f6yle ki; local token’lar da genellikle tek bir secret key ile hem \u015fifreleme(encryption) hem de \u015fifre \u00e7\u00f6zme(decryption) s\u00fcreci seyretti\u011fi i\u00e7in symmetric-key cryptography<\/em> kullan\u0131lmaktad\u0131r. Bu da bu token’lar\u0131 sunucu taraf\u0131 oturum y\u00f6netimi i\u00e7in uygun hale getirecektir. Benzer mant\u0131kla public token’lar da ise \u015fifreleme i\u00e7in bir public key ve \u015fifre \u00e7\u00f6zme i\u00e7in de private key i\u00e7eren public-key cryptography<\/em> kullan\u0131lmaktad\u0131r. Bu da private key’i payla\u015fmaks\u0131z\u0131n g\u00fcvenli ileti\u015fim ve do\u011frulama yap\u0131lmas\u0131n\u0131 sa\u011flamaktad\u0131r.<\/p>\n

    Anlayaca\u011f\u0131n\u0131z,<\/p>\n

    JWT ve PASETO, her ikisi de g\u00fcvenli token olu\u015fturmak i\u00e7in kullan\u0131lan standartlard\u0131r. Ancak PASETO, g\u00fcvenlik ve basitlik a\u00e7\u0131s\u0131ndan daha avantajl\u0131d\u0131r. G\u00fcvenlikle ilgili avantaj\u0131 yukar\u0131daki sat\u0131rlarda konu\u015fmu\u015ftuk. Basitlik a\u00e7\u0131s\u0131ndan de\u011ferlendirmede bulunursak e\u011fer JWT’de \u00e7ok farkl\u0131 algoritmalar\u0131n kullan\u0131labilir olmas\u0131 developer kaynakl\u0131 hatalara sebebiyet verebilecekken, PASETO’da se\u00e7ilmi\u015f olan algoritmalar bu hata ihtimallerini t\u00f6rp\u00fclemektedir. Bu da basitlik ilkesi a\u00e7\u0131s\u0131ndan bir avantajd\u0131r \u015feklinde yorumlanabilir. Bunlar\u0131n yan\u0131nda, mevcut ekosistem ve destek a\u00e7\u0131s\u0131ndan JWT daha yayg\u0131n kullan\u0131lsada hangi standard\u0131n tercih edilmesi gerekti\u011fi projesine ve g\u00fcvenlik gereksinimlerine ba\u011fl\u0131 olarak de\u011fi\u015fkenlik g\u00f6sterir.
    \n\"JWT(JSON<\/a><\/p>\n

    JWT \u0130le Token Based Authentication<\/h3>\n

    JWT ile token-based authentication’a dair \u00f6nceki yaz\u0131lar\u0131m\u0131zda ya da youtube e\u011fitimlerimizde onlarca kez bilgi payla\u015fm\u0131\u015f bulunmaktay\u0131z. Bu i\u00e7eri\u011fimizi \u015fi\u015firmemek ad\u0131na bu kaynaklar\u0131 referans etmekle yetinece\u011fim;<\/p>\n