We discussed SOP (same origin policy) article in our training session. Lang: TR

1. SOP
SAME ORIGIN POLICY

2. SOP NEDIR?
• SOP (same origin policy), tarayıcı üzerinde çalışan iki originin
birbirleri arasında iletişim kurup kuramayacağını belirleyen
politikadır.

3. ORIGIN NEDIR?
• Kaynağa ulaşım sağlanırken kullanılan protokol, URL ve erişilen
port bilgisi birleşiminden oluşan tanıma origin adı verilir.
• Protokol: “http://“
• Url: “www.enuygun.com”
• Port: 80

4. IKI ORIGIN ARASINDAKI KURALLAR
• http://www.example.com/dir/page.html url’ing sahip bir web sitemiz olduğunu
düşünerek, sahip olduğumuz originden hangi urllere istek gönderebileceğimizi
inceleyelim.

5. IKI ORIGIN ARASINDAKI KURALLAR
• A originine sahip olan bir site;
• B origininden bir script yükleyip çalıştırabilir.
• Yüklenen scriptin kaynak koduna veya sade (raw) haline erişim sağlayamaz.
• B origininden CSS yükleyebilir.
• B origini üzerindeki CSS dosyasının sade (raw) haline ulaşamaz.
• B originindeki bir siteyi IFRAME ile yükleyebilir.
• IFRAME ile yüklenmiş B originindeki sitenin DOM ‘una erişemez.
• B origininden bir resim yükleyebilir.
• B origininden yüklenmiş bir resimin bitlerine erişemez.
• B origininden bir video oynayabilir.
• B origininden oynatılan videonun resimini çekemez.

6. KURALLARIN AMACI
Tarayıcıların katı bir şekilde uyguladıkları bu kuralların temel amacı;
Güvenlik

7. WEB 2.0 VE YENILIKLER
• Web 2.0 ile kullanıcı haraketlerini temel alan siteler üretilmeye
başlandı. Bu interaktif siteler kendi içerilerinde cross domain
süreçler başlatmak istediklerinde ise SOP’un katı kurallarına
takıldılar. Bundan dolayı bu kurallara bazı esneklikler ve yenilikler
kazandırma ihtiyacı doğdu. İşte bunlardan bazıları;
• XmlHTTPRequest
• JSONP

8. XMLHTTPREQUEST
• Bir kaynağa asenkron şekilde istek atıp yanıt almaya yarar.
• X-Requested-With başlığı isteğe eklenerek gönderilir.
X-Requested-With: XmlHTTPRequest
• SOP kuralları katı bir şekilde uygulanır.

9. XMLHTTPREQUEST & SOP
• Aynı origine sahip isteklerin cevapları okunabilir.
• Aynı origin’e sahip isteklere extra başlıklar (header) eklenebilir.
• Farklı bir origin’e istek yapılabilir ancak cevap okunamaz. (CSRF)

10. JSONP
• Farklı veya aynı originlere asenkron bir şekilde istek atıp yanıt
almaya olanak sağlar.
• Yanıt (response) bir script’tir. Bu script sizin url’de gönderdiğiniz
methodu çağırır.
• Yalnızca GET methodu ile çalışır.

11. ÖRNEK JSONP YANITI
fooCallback(
[
{"artist": "Michael Jackson", "album": "Black or
White”},
{"artist": "Beatles, The", "album": "Revolution"}
]
);

12. JSONP VE HTTPS
• JSONP ile ilişkili olan tehlike ise; yüklenilen scripti direk olarak
tarayıcının çalıştırıyor olması. Eğer giriş yaptığınız web sitesi https
değil de http olursa, giden/gelen verinin bozulup bozulmadığına
emin olamayacağınızdan dolayı ağ katmanınızdan kaynaklı olarak
bir güvenlik açığına sebebiyet verebilirsiniz.

13. XDOMAINREQUEST AND CORS
• JSONP kullanarak GET methodu ile veri çekebilmiştik fakat veri
yazma / silme / güncelleme işlerini de aynı anda yönetebilmemiz
gerekiyor.
• Bu konudaki baskılardan dolayı ilk adım olarak Microsoft
XDomainRequest adlı bir yapı tanıtır. Diğer büyük tarayıcılar ise
CORS’u (Cross origin resource sharing) tanıtırlar.
• SOP sınırlamalarına ek olarak bu iki yapı ile istek kısıtlama
yönetimi domain’e de verilmiş oldu.

14. CORS YÖNTEMLERI
• Simple Request
• Preflighted Request

15. SIMPLE REQUEST
• Koşullar;
• HTTP methodu GET, HEAD veya POST ise
• Content-Type başlığı (header) application/x-www-form-urlencoded,
multipart/form-data veya text/plain ise
• Fazladan başlık (header) gönderilmemiş ise
• CORS mekanizması bunu simple request olarak değerlendirecek ve
isteği direk yönlendirecektir.

16. ÖRNEK SIMPLE REQUEST ISTEĞI
İstek:
GET / HTTP/1.1
Host: otel.enuygun.com
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en,en-US;q=0.5
Origin: http://www.enuygun.com
Connection: keep-alive
Yanıt:
HTTP/1.1 200 OK
Date: Sun, 24 Apr 2016 12:43:39 GMT
Server: Apache
Access-Control-Allow-Origin: http://www.enuygun.com
Keep-Alive: timeout=2, max=100
Connection: Keep-Alive
Content-Type: application/xml
Content-Length: 423
<?xml version="1.0" encoding="UTF-8"?>
...

17. PREFLIGHTED REQUEST
• Koşullar;
• Http methodu GET, HEAD veya POST dan farklı bir method ise
• Content-Type başlığı (header) application/x-www-form-
urlencoded, multipart/form-data veya text/plain dan farklı ise
• Fazladan başlık (header) gönderilmiş ise
• CORS mekanizması bunu preflighted request olarak
değerlendirecek ve ilk önce OPTIONS isteği yönlendirecektir.
Sunucu bu isteğin doğruluğu kontrol edip ilgili başlıkları (header)
gönderdikten sonra tarayıcı gerçek isteği gönderecektir.

18. ÖRNEK PREFLIGHTED REQUEST ISTEĞI
İstek:
OPTIONS /resources/post-here/ HTTP/1.1
Host: otel.enuygun.com
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-us,en;q=0.5
Connection: keep-alive
Origin: http://www.enuygun.com
Access-Control-Request-Method: POST
Access-Control-Request-Headers: X-TOKEN-ID
Yanıt:
HTTP/1.1 200 OKDate: Mon, 01 Dec 2008 01:15:39 GMT
Server: Apache
Access-Control-Allow-Origin: http://www.enuygun.com
Access-Control-Allow-Methods: POST, GET, OPTIONS
Access-Control-Allow-Headers: X-TOKEN-ID
Access-Control-Max-Age: 86400
Vary: Accept-Encoding, Origin
Content-Length: 0
Keep-Alive: timeout=2, max=100
Connection: Keep-Alive
Content-Type: text/plain

19. CORS BAŞLIKLARI (HEADER)
• İstek (request) başlıkları (header)
• Origin
• Access-Control-Request-Method
• Access-Control-Request-Headers
• Yanıt (response) başlıkları (header)
• Access-Control-Allow-Origin
• Access-Control-Expose-Headers
• Access-Control-Max-Age
• Access-Control-Allow-Methods
• Access-Control-Allow-Headers
• Access-Control-Allow-Credentials

20. ORIGIN
• Kaynağa ulaşım sağlanırken kullanılan protokol, URL ve erişilen
port bilgisi birleşiminden oluşan tanıma origin adı verilir.
• Protokol: “http://“
• Url: “www.enuygun.com”
• Port: 80

21. ACCESS-CONTROL-REQUEST-METHOD
• Sunucuya gönderilen bu parametrede hangi metod ile isteğin
gönderildiği belirtilir.
• Örnek: Access-Control-Request-Method: <metod>

22. ACCESS-CONTROL-REQUEST-HEADERS
• Sunucuya gönderilen bu parametrede fazladan hangi başlıkların
(header) gönderildiği belirtilir.
• Örnek: Access-Control-Request-Headers: <başlık-adı>[, <başlık-
adı>]*

23. ACCESS-CONTROL-ALLOW-ORIGIN
• Sunucu istemciye bu başlık (header) ile hangi origin’e izin verildiğini
gönderir.
• Tam url yazılabildiği gibi “*” karakteri de yanıt olarak gönderilebilir.
• Örnekler:
• https://www.enuygun.com
• *

24. ACCESS-CONTROL-EXPOSE-HEADERS
• Sunucudan gelen bu başlık (header) ile istemcinin hangi başlıklara
(header)erişebileceği belirtilir.
• Örnek: Access-Control-Expose-Headers: X-My-Custom-Header, X-
Another-Custom-Header

25. ACCESS-CONTROL-MAX-AGE
• Sunucudan gelen bu başlık (header) ile istemcinin gönderdiği
preflighted requestin kaç saniye önbellekleneceği (cache) belirtilir.
• Örnek: Access-Control-Max-Age: <delta-saniye>

26. ACCESS-CONTROL-ALLOW-METHODS
• Sunucudan gelen bu başlık (header) ile istemcinin hangi metodlar
ile istek atabileceği belirtilir
• Örnek: Access-Control-Allow-Methods: <metod>[, <metod>]*

27. ACCESS-CONTROL-ALLOW-HEADERS
• Sunucudan gelen preflight yanıtındaki bu başlık (header) ile istemci
gerçek isteği (request) gönderirken hangi ekstra başlıkları (header)
gönderebileceği belirtilir.
• Örnek: Access-Control-Allow-Headers: <başlık-adı>[, <başlık-adı>]*

28. ACCESS-CONTROL-ALLOW-CREDENTIALS
• Sunucudan gelen bu başlık (header) ile istemcinin gerçek isteği
gönderirken cookielerin gönderilip gönderilmemesine karar verilir.
• Örnek: Access-Control-Allow-Credentials: true

29. HACKING
• CSRF (cross site request forgery)
• XSS (cross site scripting)

30. CROSS SITE REQUEST FORGERY
• A origininden B originine kullanıcının izni olmadan, kullanıcı verisini
almak, çalmak için yapılan kötü niyetli bir exploit türüdür.
• Örnek: <img src=“www.abcsitesi.com/kullanicimi_sil" width="0"
height=“0">
• Çözüm:
• Her form için eşsiz (unique) bir token üretip, kullanıcının
oturumuna yazılır. Kullanıcı sunucuya isteği gönderdiğinde bu
token değeri kontrol edilir.

31. XSS
• A originindeki siteye kendi yazdığınız kodun çalışmasını sağlamak.

32. DINLEDIĞINIZ IÇIN
TEŞEKKÜRLER
Hazırlayan: Mehmet Gökalp

33. KAYNAKÇA
• https://medium.com/kodcular/web-teknolojileri-
geli%C5%9Ftircilerine-g%C3%BCvenlik-konular%C4%B1nda-
tavsiyeler-same-origin-policy-a9f1fe917062
• https://developer.mozilla.org/tr/docs/Web/HTTP/CORS#Who_shoul
d_read_this_article
• https://developer.mozilla.org/en-US/docs/Web/Security/Same-
origin_policy