Kaynak Kod Analizi ve Uygulama Güvenliği
Kriptografi Kullanım İncelemesi
Uygulamanızda şifreleme, imzalama ve anahtar saklamanın nasıl kullanıldığını kod ve yapılandırma üzerinde inceliyoruz. Doğru algoritmanın yanlış kullanıldığı yerleri tespit ediyoruz.
Nedir?
Kriptografi hataları çoğunlukla algoritmanın kendisinde değil, kullanım biçimindedir. Güçlü bir şifreleme, sabit başlatma vektörüyle veya bütünlük kontrolü olmadan kullanılırsa beklenen korumayı sağlamaz. Parolaların hızlı bir özet fonksiyonuyla saklanması da benzer bir hatadır. İnceleme, her kriptografik işlemi amacına ve güncel önerilere göre değerlendirir.
Kapsam
- Şifreleme algoritması, çalışma modu ve başlatma vektörü (IV) kullanımı
- Parola saklama yöntemi ve özet fonksiyonu seçimi
- Belirteç, anahtar ve tek kullanımlık kod üretimindeki rastgele sayı kaynağı
- Anahtarların üretimi, saklanması ve yenilenmesi (KMS veya HSM)
- İmza, sertifika ve JWT doğrulaması ile TLS istemci ayarları
- Kullanılan algoritma ve protokollerin envanteri
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Sağlık verisi gibi özel nitelikli kişisel verileri, KVK Kurulunun istediği kriptografik yöntemlerle sakladığınızı göstermeniz gerektiğinde.
- Bir müşteri veya denetçi, kullandığınız şifreleme algoritmalarının ve protokollerin listesini istediğinde.
- Kuantum sonrası şifrelemeye geçişi planlarken ve önce hangi algoritmanın nerede kullanıldığını bilmeniz gerektiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Envanter
Kodda ve yapılandırmada kullanılan tüm kriptografik işlemleri ve kütüphaneleri listeleriz.
-
Amaç
Her işlemin neyi korumak için kullanıldığını ve bunun için doğru yapı olup olmadığını değerlendiririz.
-
Anahtar yaşam döngüsü
Anahtarların nerede üretildiğini, nerede saklandığını, kime açık olduğunu ve nasıl yenilendiğini izleriz.
-
Öneriler
Her bulgu için güncel önerilere uygun kullanımı ve geçiş sırasını veririz.
Sonuç
Çalışmanın sonunda elinizde olan
Uygulamanızdaki kriptografik işlemlerin envanteri ve her birinin doğru kullanılıp kullanılmadığı elinizdedir. Bu envanter, kuantum sonrası algoritmalara geçiş planının da başlangıç noktasıdır.
Sık sorulan sorular
Kuantum sonrası şifreleme için şimdi ne yapmalıyız?
NIST, kuantum sonrası şifreleme için ilk standartları (FIPS 203, 204 ve 205) Ağustos 2024'te onayladı. Geçişin ilk adımı, hangi algoritmanın hangi sistemde kullanıldığını bilmektir. Bu inceleme o envanteri çıkarır.
Kendi şifreleme kodumuzu yazdık. Bu bir sorun mu?
Kendi algoritmanızı veya protokolünüzü yazmak ciddi bir risktir. Yaygın kabul görmüş kütüphanelerin doğru kullanımına geçişi öneririz ve mevcut kodu bu geçiş sırasında inceleriz.
Sunucu ve yük dengeleyici TLS ayarları da kapsama girer mi?
Uygulamanın TLS bağlantılarını ve sertifikaları nasıl doğruladığı kapsamdadır. Sunucu ve yük dengeleyici yapılandırmaları istenirse kapsama eklenir.
Kaynak Kod Analizi ve Uygulama Güvenliği
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın