Erişim kontrolü nasıl çalışır (RBAC, en az yetki ilkesi)?

Question

Accepted Answer

**Erişim kontrolü**, kimliği doğrulanmış kullanıcıların ne yapabileceğini yönetir — **RBAC** (Rol Tabanlı Erişim Kontrolü) gibi modeller ve **en az yetki** ilkesi gibi prensipler aracılığıyla. Uygun erişim kontrolü kritiktir, çünkü bozuk erişim kontrolü OWASP'nin #1 zafiyetidir.

## Erişim kontrolü modelleri

```text
RBAC (Role-Based Access Control) → assign users to ROLES; roles have PERMISSIONS:
  → user → role(s) (admin, editor, viewer) → permissions → access decisions
  → manageable, common; change a role's permissions, all its users update
ABAC (Attribute-Based) → decisions based on ATTRIBUTES (user, resource, context) → flexible,
  fine-grained (e.g. "editors can edit docs in their department during business hours")
ACLs → per-resource lists of who can do what
```

## En az yetki ilkesi

```text
LEAST PRIVILEGE → grant the MINIMUM access needed to do the job, nothing more:
  → limits the BLAST RADIUS if an account/component is compromised
  → applies to users, services, processes, database accounts, API keys, etc.
→ a foundational security principle (default to LESS access; grant more only as needed)
```

## Erişim kontrolünü güvenli bir şekilde uygulamak

```text
⚠️ BROKEN ACCESS CONTROL is OWASP #1 — common and serious:
✓ ENFORCE authorization on the SERVER for EVERY protected action/resource (never trust
  the client; don't rely on hiding UI elements)
✓ Check the user is authorized for the SPECIFIC resource (prevent IDOR — accessing
  others' data by changing an ID)
✓ DENY by default; verify on each request; centralize authorization logic
✓ Test access control (a common gap — easy to miss authorization checks)
```

## Neden önemli

Erişim kontrolünü anlamak önemlidir çünkü **kullanıcıların ne yapabileceğini yönetir ve güvenlik için kritiktir** — bozuk erişim kontrolü OWASP'nin #1 zafiyetidir — bu nedenle pratik açıdan kritik güvenlik bilgisidir.

Erişim kontrolü, kimliği doğrulanmış kullanıcıların ne yapmalarına izin verildiğini belirler ve bunu doğru uygulamak önemlidir.

**Modelleri** anlamak — **RBAC** (kullanıcıları izinleri olan rollere atamak — yönetilebilir ve yaygın), **ABAC** (esnek, granüler kontrol için nitelik tabanlı kararlar) ve ACL'ler (kaynak başına izin listeleri) — izinleri yapılandırmak için çerçeveler sağlar; RBAC en yaygın olanıdır.

**En az yetki ilkesi**ni anlamak — **gereken minimum erişimi verme**, bu da **bir hesap veya bileşen tehlikeye atılırsa etki alanını sınırlandırır** — geniş uygulanabilen temel güvenlik ilkesidir (kullanıcılar, hizmetler, veritabanı hesapları, API anahtarları) ve en önemli güvenlik kavramlarından biridir.

Kritik olarak, **erişim kontrolünü güvenli bir şekilde uygulamayı** anlamak #1 zafiyeti ele alır: **her korumalı işlem için sunucu tarafında yetkilendirmeyi zorunlu kılmak** (istemciye asla güvenmemek veya gizli UI'ye dayanmamak — yaygın bir hata), **belirli kaynak için yetkilendirmeyi kontrol etmek** (IDOR'u önlemek, kullanıcıların bir ID'yi değiştirerek başkalarının verilerine eriştiği yer — sık görülen bozuk erişim kontrolü kusuru), **varsayılan olarak reddetmek**, her istekte doğrulamak ve **erişim kontrolünü test etmek** (yaygın bir boşluk, çünkü eksik yetkilendirme kontrolleri kolayca gözden kaçabilir).

Erişim kontrolü kullanıcıların ne yapabileceğini yönettiğinden ve bozuk erişim kontrolü en iyi zafiyeti temsil ettiğinden (yaygın ve ciddi), ve modelleri (RBAC), en az yetki ilkesini ve güvenli uygulamayı (sunucu tarafında zorunlu kılmak, kaynağa özgü kontroller, varsayılan olarak reddetmek) anlamak güvenlik için kritik olduğundan, erişim kontrolünü anlamak pratik açıdan kritik güvenlik bilgisidir — #1 güvenlik riskini ele alır, kullanıcıların ne yapabileceğini kontrol etmek için temeldir ve bozuk erişim kontrolü kusurlarını (IDOR ve eksik yetkilendirme kontrolleri gibi) önlemek için gereklidir; bu kusurlar en yaygın ve ciddi zafiyetler arasındadır.