Proxy kimlik doğrulaması

Bir HTTP proxy sunucusu, kullanıcıları doğrulamak ve yetkisiz erişimi önlemek için kimlik doğrulama gerektirir. Yaygın olarak kullanılan iki yöntem, IP beyaz listesi (IP whitelisting) ve kullanıcı adı/parola ile kimlik doğrulamadır. IP beyaz listesi, erişimi önceden onaylanmış IP adreslerine göre verir; kullanıcı adı/parola yöntemi ise kullanıcıdan geçerli kimlik bilgileri ister. Doğru yöntemin seçimi; güvenlik ihtiyaçlarınıza, kullanıcı yönetimi gereksinimlerinize ve kullandığınız proxy sunucusuna bağlıdır.

IP beyaz listesi

IP beyaz listesi, proxy sunucusuna yalnızca belirli IP adreslerinden veya IP adres aralıklarından erişime izin verir. Bu yöntem, yalnızca güvenilir kaynaklardan gelen trafiğe izin verilmesi ilkesine dayanır.

Nasıl çalışır

Bir istek proxy sunucusuna ulaştığında, sunucu isteğin kaynak IP adresini izin verilen IP adresleri listesiyle (beyaz liste) karşılaştırır. IP adresi listedeyse istek iletilir. Aksi hâlde istek reddedilir.

IP beyaz listesinin avantajları

• Basitlik: IP beyaz listesinin yapılandırılması ve yönetilmesi görece kolaydır; özellikle az sayıda bilinen IP adresi söz konusu olduğunda.
• Güvenlik: yetkili kullanıcı ya da sistem sayısı sınırlıysa ve IP adresleri statik ve biliniyorsa güçlü bir güvenlik önlemi olabilir.
• Şeffaflık: kullanıcıların kimlik bilgisi girmesi gerekmez; bu da deneyimi kesintisiz kılar.

IP beyaz listesinin dezavantajları

• Ölçeklenebilirlik: çok sayıda IP adresini yönetmek zahmetli hâle gelebilir.
• Dinamik IP adresleri: kullanıcıların sık değişen dinamik IP adreslerine sahip olduğu ortamlar için uygun değildir. Beyaz listenin sürekli güncellenmesini gerektirir.
• Spoofing'e açıklık: zor olsa da IP adresleri taklit edilebilir (spoofing) ve bu da yetkisiz erişime yol açabilir. Ancak bu genellikle saldırganın beyaz listedeki bir IP ile aynı ağda olmasını gerektirir.
• Ayrıntılı denetim eksikliği: tek tek kullanıcı erişimi üzerinde sınırlı denetim sağlar; belirli bir IP adresi için ya hep ya hiç mantığı geçerlidir.

Yapılandırma örneği (Squid Proxy)

Squid'de IP beyaz listesi, Erişim Denetim Listeleri (ACL) ile uygulanır.

acl allowed_ips src 192.168.1.0/24 10.0.0.10 203.0.113.5
http_access allow allowed_ips
http_access deny all

Bu yapılandırma, 192.168.1.0/24 IP aralığından ve 10.0.0.10 ile 203.0.113.5 IP adreslerinden erişime izin verir. Diğer tüm trafik reddedilir.

Kullanıcı adı/parola ile kimlik doğrulama

Bu yöntem, kullanıcının proxy sunucusuna erişmeden önce geçerli kimlik bilgilerini (kullanıcı adı ve parola) girmesini gerektirir.

Nasıl çalışır

Bir istek proxy sunucusuna ulaştığında, sunucu kullanıcıdan kullanıcı adı ve parola ister. Ardından proxy, bu bilgileri bir kullanıcı veritabanına veya kimlik doğrulama sunucusuna (örneğin LDAP, Active Directory) karşı doğrular. Bilgiler geçerliyse istek iletilir; değilse erişim reddedilir.

Kullanıcı adı/parola yönteminin avantajları

• Ayrıntılı denetim: kullanıcı bazında erişim denetimi ve takibi sağlar.
• Ölçeklenebilirlik: çok sayıda kullanıcıyı yönetmek için kolayca ölçeklenir.
• Dinamik IP adresleri: kullanıcılar IP adreslerinden bağımsız olarak doğrulandığı için dinamik IP adresleriyle sorunsuz çalışır.
• Denetim kaydı: kullanıcı etkinliğinin ayrıntılı biçimde denetlenmesini mümkün kılar.
• Güvenlik: güçlü parolalar kullanılırsa ve kimlik doğrulama süreci düzgün korunursa (örneğin HTTPS ile) güçlü bir güvenlik katmanı sunar.

Kullanıcı adı/parola yönteminin dezavantajları

• Kullanıcı yönetimi: kullanıcı hesaplarının ve parolaların yönetilmesini gerektirir; bu da karmaşık olabilir.
• Kullanıcı deneyimi: kullanıcıların kimlik bilgilerini elle girmesi gerekir, bu da zahmetli olabilir.
• Parola saldırılarına açıklık: kaba kuvvet ve kimlik avı gibi parola tabanlı saldırılara açıktır. Çok faktörlü kimlik doğrulama gibi uygun güvenlik önlemleri kritik önemdedir.
• Karmaşıklık: IP beyaz listesine kıyasla yapılandırması ve bakımı daha karmaşıktır.

Yapılandırma örneği (Squid Proxy)

Squid, temel (basic) kimlik doğrulama ya da NTLM veya Kerberos gibi daha gelişmiş yöntemleri kullanacak şekilde yapılandırılabilir. Aşağıda htpasswd dosyasıyla temel kimlik doğrulama örneği verilmiştir:

1. htpasswd dosyasını oluşturun:

   bash htpasswd -c /etc/squid/passwd user1 htpasswd /etc/squid/passwd user2

2. Squid'i yapılandırın:

   squid auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/passwd auth_param basic realm Squid Proxy Authentication acl authenticated proxy_auth REQUIRED http_access allow authenticated http_access deny all

Bu yapılandırma, kullanıcıların /etc/squid/passwd dosyasında saklanan kimlik bilgileriyle doğrulanmasını zorunlu kılar.

IP beyaz listesi ile kullanıcı adı/parola karşılaştırması

Doğru yöntemi seçmek

En iyi kimlik doğrulama yöntemi, sizin özel gereksinimlerinize bağlıdır:

• Şu durumlarda IP beyaz listesini seçin:
  • Statik IP adreslerine sahip az sayıda güvenilir sisteminiz var.
  • Basit ve şeffaf bir çözüme ihtiyacınız var.
  • Ayrıntılı kullanıcı denetimine veya denetim kaydına ihtiyacınız yok.
• Şu durumlarda kullanıcı adı/parola yöntemini seçin:
  • Çok sayıda kullanıcıyı yönetmeniz gerekiyor.
  • Kullanıcıların IP adresleri dinamik.
  • Ayrıntılı kullanıcı denetimi ve denetim kaydı gerekiyor.
  • Güvenlik birinci önceliktir ve parolaları güvenli biçimde yönetmeye hazırsınız.

Bazı durumlarda iki yöntemin birlikte kullanılması uygun olabilir. Örneğin, iç ağlar için IP beyaz listesini, dış kullanıcılar için kullanıcı adı/parola doğrulamasını kullanabilirsiniz.

En iyi uygulamalar

Hangi kimlik doğrulama yöntemini seçerseniz seçin, şu iyi uygulamaları izleyin:

• IP beyaz listenizi güncel tutun: listeyi düzenli olarak gözden geçirip güncelleyin ve artık geçerli olmayan ya da yetkisiz IP adreslerini çıkarın.
• Güçlü parolalar kullanın: parola tabanlı saldırıları önlemek için güçlü parola politikaları uygulayın. Bir parola yöneticisi kullanmayı değerlendirin.
• Çok faktörlü kimlik doğrulamayı (MFA) etkinleştirin: MFA, kullanıcıdan cep telefonuna gelen kod gibi ikinci bir doğrulama faktörü isteyerek ek bir güvenlik katmanı sağlar.
• Kimlik doğrulama sürecini koruyun: istemci ile proxy sunucusu arasındaki iletişimi şifrelemek ve dinlemeyi engellemek için HTTPS kullanın.
• Proxy sunucusu günlüklerinizi izleyin: şüpheli etkinlikleri saptamak için günlükleri düzenli olarak inceleyin.
• Yöntemleri birlikte kullanmayı değerlendirin: güvenliği artırmak için hem IP beyaz listesini hem de kullanıcı adı/parola doğrulamasını kullanın. Örneğin tüm kullanıcılardan kullanıcı adı/parola doğrulaması isteyin, ancak yalnızca beyaz listedeki IP adreslerinden erişime izin verin.

Sonuç

IP beyaz listesi ve kullanıcı adı/parola doğrulaması, proxy sunucunuzu korumak için farklı avantaj ve dezavantajlar sunar. IP beyaz listesi basitlik ve şeffaflık sağlar, ancak daha az ölçeklenebilirdir ve dinamik IP adresleri için uygun değildir. Kullanıcı adı/parola doğrulaması ayrıntılı denetim ve ölçeklenebilirlik sunar, ancak kullanıcı yönetimi gerektirir ve parola tabanlı saldırılara açıktır. Kendi gereksinimlerinizi dikkatle değerlendirip iyi uygulamaları izleyerek, proxy sunucunuzu ve ağınızı en iyi koruyan kimlik doğrulama yöntemini seçebilirsiniz. Proxy sunucuları hakkında daha ayrıntılı bilgi için Proxy sunucular: nedir ve nasıl çalışır{rel="nofollow"} ve Proxy sunucu türleri{rel="nofollow"} gibi kaynakları inceleyebilirsiniz.