Yapay Zeka Ajanı, Sigorta Şirketinin Canlı Sisteminde OTP Açığını Kendi Başına Buldu

Reflectiz'in yapay zeka tabanlı sızma testi ajanı, yetkili bir güvenlik değerlendirmesi kapsamında milyonlarca kullanıcıya sahip büyük bir sigorta şirketinin canlı web sitesinde kritik bir kimlik doğrulama açığı tespit etti. Ajan, tek kullanımlık şifrenin (OTP) nereye gönderileceğini belirleyen iki alanı manipüle ederek kodu kendi kontrolündeki bir e-posta adresine yönlendirdi ve sisteme giriş yapmayı başardı. Açık tespit edilir edilmez ajanın güvenlik önlemleri devreye girdi ve test otomatik olarak durduruldu; bulgular sigorta şirketine raporlandı.

Açığın Teknik Yapısı: Kod Nereye Giderse Oraya​

Söz konusu güvenlik açığının özü oldukça basit bir tasarım hatasına dayanıyordu. Sistemin giriş akışı, kullanıcıya tek kullanımlık şifrenin hangi kanal üzerinden ve hangi adrese gönderileceğini seçme imkânı tanıyordu. Normal koşullarda kod, hesaba kayıtlı telefon numarasına SMS olarak iletilmesi gerekiyordu. Ancak giriş isteğindeki iki alan değiştirilerek kanal SMS'ten e-postaya çevrildiğinde sunucu, kodu hesaba bağlı adres yerine istekte belirtilen herhangi bir e-posta adresine gönderiyordu.
Sunucu hiçbir aşamada belirtilen adresin gerçekten o hesaba ait olup olmadığını doğrulamıyordu. OWASP'ın test rehberinde de açıkça sorgulandığı üzere, tek kullanımlık şifrelerin doğru kullanıcı hesabına bağlı olması kimlik doğrulamanın en temel gereksinimlerinden biridir. Bu bağın kurulmadığı durumlarda, gerekli müşteri tanımlayıcılarına sahip bir saldırgan başka bir kullanıcının hesabına erişme imkânı bulabilir.

Ajandan Keşfe: Şüpheli Alandan Doğrulanmış Açığa​

Reflectiz'in ajanı sürece keşif aşamasıyla başladı. Sitenin JavaScript kodunu ve sayfa arkasındaki API çağrılarını inceledi; bu analiz sırasında OTP isteğini ve kodun nasıl ile nereye gönderileceğini kontrol eden iki değeri tespit etti. Ancak bu değerlerin varlığı tek başına bir bulgu sayılmaz; sunucu bu değişiklikleri reddedebilir ya da giriş akışının ilerleyen aşamalarında bloklayabilirdi.
Bu nedenle ajan, her iki değeri de hedef alan özel bir test senaryosu oluşturdu ve bunu canlı giriş akışı üzerinde çalıştırdı. Test, bypass'ın gerçekten işe yaradığını doğruladı. Ajan giriş başarıyla tamamlandıktan sonra kendi güvenlik kuralları devreye girdi ve test durduruldu. Reflectiz, bulguyu sigorta şirketine iletti.

Web Bağlamı: Asıl Zorluk Giriş Kapısının Arkasında​

Otomatik güvenlik testlerinin büyük bölümü giriş noktasında takılıp kalır; oysa kritik iş akışlarının çoğu kimlik doğrulamanın arkasında yer alır. Bir test sisteminin erişemediği bir iş akışını değerlendirmesi mümkün değildir. Reflectiz bu sorunu ajandan çok önce çözmüştü. Şirket, on yılı aşkın süredir binlerce üretim web sitesini tarayarak giriş yapma, doğrulama kodu alma ve çok adımlı akışları takip etme deneyimi biriktirdi. Halihazırda izlediği sitelerde ajan bu birikmiş bağlamla çalışmaya başlıyor; boş bir URL ile değil.
Reflectiz'in CTO'su ve kurucu ortağı Ysrael Gurt, uzun yıllar etik hacker olarak çalışmış bir isim. Gurt, ajanı bu web bağlamı altyapısının üzerine inşa etti. Ajan, gerçek bir tarayıcıyı kullanıcıların izlediği akışlar boyunca yönlendirebiliyor; tek kullanımlık şifreler ve iki faktörlü doğrulama dahil.

Tek Bulgu Kapsam Raporu Değildir​

Doğrulanmış bir güvenlik açığı neyin başarısız olduğunu gösterir, ancak uygulamanın ne kadarının test edildiğini ortaya koymaz. OTP testi, aynı sitede yürütülen diğer saldırı planlarıyla eş zamanlı olarak gerçekleşti. Reflectiz'in ajanı, açık uçlu araştırmayı yapılandırılmış bir planla eşleştiriyor: keşfedilen her uç noktayı geçerli her saldırı kategorisine karşı test etmek. Ayrı bir doğrulayıcı ajan, raporlanmadan önce her şüpheli bulguyu aynı yük ve bağlamla yeniden üretiyor. Çıktı; hangi testlerin çalıştırıldığını, kayıt altına alınan sonuçları ve varsa dışlamaları gösteren bir kapsam kaydı içeriyor.

Periyodik Test ile Sürekli Test Arasındaki Fark​

Sigorta şirketi, söz konusu sitenin yaklaşık altı ay önce sızma testinden geçirildiğini belirtti. Bu değerlendirme ise istismar edilebilir bir giriş açığı ortaya koydu; ancak zafiyetin ne zaman sisteme girdiği bilinmiyor. Reflectiz, bu durumun insan test uzmanlarını eleştirmek için değil, belirli anlık test yaklaşımının doğasını anlatmak için önemli olduğunu vurguluyor. Web siteleri her sürümle değişir, ama sızma testi takvimleri değişmez. Saldırganlar artık açıkları hızla bulmak için yapay zekadan yararlanırken katı test pencereleri yeterli gelmiyor. Ajan tabanlı test, sitenin her değişiminde odaklı testleri tekrarlayabilir; yeter ki ajana doğru erişim ve net sınırlar tanınsın. Reflectiz, geleneksel manuel sızma testine kıyasla aynı operasyonel maliyetle 10 kata kadar daha fazla test kapasitesi sağladığını belirtiyor; bu karşılaştırma test hacmiyle ilgili olup daha fazla açık bulunacağına dair bir güvence değil.

Sıkça Sorulan Sorular​

OTP bypass açığı tam olarak nasıl çalışıyordu?​

Giriş isteği, tek kullanımlık şifrenin hangi kanal üzerinden ve hangi adrese gönderileceğini belirleyen iki alan içeriyordu. Bu alanlar değiştirilerek kanal SMS'ten e-postaya çevrildiğinde sunucu, kodu hesaba kayıtlı adres yerine istekte belirtilen herhangi bir adrese gönderiyordu. Sunucu, belirtilen adresin o hesaba ait olup olmadığını hiçbir aşamada doğrulamıyordu.

Reflectiz'in yapay zeka ajanı bu açığı nasıl keşfetti?​

Ajan önce sitenin JavaScript kodunu ve API çağrılarını inceledi; bu süreçte OTP isteğini ve teslimat kanalını kontrol eden değerleri tespit etti. Ardından her iki değeri hedef alan özel bir test senaryosu oluşturarak bunu canlı giriş akışı üzerinde çalıştırdı ve bypass'ın gerçekten işe yaradığını doğruladı. Giriş başarıyla tamamlanınca ajanın güvenlik önlemleri devreye girdi ve test otomatik olarak durduruldu.

Sigorta şirketi daha önce sızma testi yaptırmış mıydı?​

Evet, sigorta şirketi söz konusu sitenin yaklaşık altı ay önce sızma testinden geçirildiğini belirtti. Ancak bu değerlendirme, istismar edilebilir giriş açığını ortaya koymadı. Zafiyetin sisteme ne zaman girdiği bilinmiyor.

Reflectiz'in ajanı neden canlı üretim ortamında test yapabiliyor?​

Reflectiz, on yılı aşkın süredir binlerce üretim web sitesini tarayarak giriş yapma, doğrulama kodu alma ve çok adımlı iş akışlarını takip etme deneyimi biriktirdi. Ajan, halihazırda izlenen sitelerde bu birikmiş web bağlamından yararlanarak çalışıyor; bu sayede giriş kapısının arkasındaki akışlara da erişebiliyor.

Ajan tabanlı test ile geleneksel sızma testi arasındaki temel fark nedir?​

Geleneksel sızma testleri belirli zaman dilimlerinde gerçekleştirilir ve web siteleri sürümler arasında değişse de test takvimleri buna ayak uyduramaz. Ajan tabanlı test ise sitenin her değişiminde odaklı testleri tekrarlayabilir. Reflectiz, bu yaklaşımın geleneksel manuel teste kıyasla aynı operasyonel maliyetle 10 kata kadar daha fazla test hacmi sağladığını belirtiyor.