Kimlik doğrulama ve yetkilendirme işlemlerinde bir kullanıcının diğer bir kullanıcının kimliğine bürünmesi
Impersonation of one user by another user i̇n authentication and authorization processes
Yazar: ÖMER TAKIM
Danışman: DOÇ. DR. MEHMET SİNAN BAŞAR
Atatürk Üniversitesi / Sosyal Bilimler Enstitüsü / Yönetim Bilişim Sistemleri Ana Bilim Dalı
Derece: Yüksek Lisans, 2023
Konu: Yönetim Bilişim Sistemleri = Management Information Systems

Özet:
Teknolojinin hızla ilerlemesi sonucunda birçok alanda yapılan işlemlerin bilişim sistemleri içerisinde belirli bir sistem tarafında yönetilmesi hem kolaylık hem de zaman tasarrufu sağlıyor. Günümüzde gerek özel gerekse kamu işletmeleri hem iç sistemlerini yönetmek hem de dışarıdan sisteme dahil olmak isteyen kullanıcılar için kimlik doğrulama ve yetkilendirme sistemini kullanmaktadırlar. Kimlik doğrulama ile kullanıcının gerçek kişi olup olmadığı, yetkilendirme ile de erişim yetkisinin kontrolü sağlamaktadır.
Bu çalışmanın amacı günümüzde kullanılan kimlik doğrulama ve yetkilendirme sistemlerini inceleyip sistemdeki güvenlik açıklarını tespit ederek yeni bir kimlik doğrulama ve yetkilendirme sistemi önermektir. Bu kapsamda kimlik doğrulama ve yetkilendirme sistemi anlatılarak günümüzde kullanılan sistemler incelenmiştir. Günümüzde kullanılan kimlik doğrulama ve yetkilendirme işlemleri kapsamında sistemlere yetkisiz kişiler tarafından girildiği, yetkisi olmayan kişilerin sistem üzerinde işlem yaptıkları ve bu işlemlerin çoğu zaman kimin tarafından yapıldığı tespit edilemediği ve tespit edilen işlemlerin ise çok uzun sürdüğü gözlemlenmiştir. Yetkisiz erişimlerim çoğunlukla sistemsel hatalardan, güvenlik açıklarından kaynaklanmadığı gözlemlenmiştir. Bu izinsiz girişler kişilerin kendi kimlik bilgilerini ve şifrelerini başka bir kişi ile paylaşmalarından kaynaklandığı tespit edilmiştir. 
Bu kapsamda yapılan bu çalışma ile kişilerin birbirleri ile kimlik ve şifre bilgilerini paylaşmalarını önlemek için yeni bir kimlik doğrulama ve yetkilendirme sistemi geliştirilmiştir. Bu sitemde kullanıcı kendi iş çevresinde bulunan kişilerle yetkilerini paylaşabilecektir. Üzerine yetki alan kişi ise sisteme giriş yaparken kimlik doğrulaması yapıldıktan sonra ikinci bir ekranla karışılacak ve bu ekranda da hangi kullanıcının kimliğine bürünmek istiyorsa onu seçip devam etmesi sağlanacaktır. Bu çalışma kapsamında Java tabanlı Spring Boot, Spring Security ve Angular kütüphaneleri kullanılmıştır Yapılan bu çalışma sonucunda önerilen yeni kimlik doğrulama ve yetkilendirme sistemi üçüncü bölümde anlatılmıştır.
Yapılan çalışmada sonuç olarak bir kullanıcının kendi üzerinde bulunan yetkilerini başka bir kullanıcıya aktarabildiği ve diğer kullanıcının ise yetkisi olmadığı halde yetkili kişinin kimliğine bürünerek sistem içerisinde kendisine tanımlanan kısımlara erişebildiği gözlemlenmiştir. Böylece yetkili kişinin kimliğine bürünen kullanıcının yaptığı her işlem veri tabanına kaydedilmektedir. Bu kapsamda bu çalışma ile sistem ve veri güvenliği işlemleri daha dinamik bir yapıya kavuşturulmuştur. Böylece yetkisiz kişilerin sisteme erişimi engellenmiştir.

Anahtar Kelimeler: Kimlik Doğrulam Sistemleri, Yetkilendirme Sistemleri, Yetkisiz Erişim

Abstract:
As a result of the rapid progress of technology, the management of transactions in many areas on a specific system side within information systems provides both convenience and time savings. Today, both private and public enterprises use the authentication and authorization system for users who want to manage their internal systems and to be included in the system from the outside. It provides control of whether the user is a real person with authentication and access authorization with authorization.
The aim of this study is to examine the authentication and authorization systems used today and to identify the security vulnerabilities in the system and to propose a new authentication and authorization system. In this context, the authentication and authorization system is explained and the systems used today are examined. Within the scope of authentication and authorization processes used today, it has been observed that unauthorized persons enter the systems, that unauthorized persons operate on the system, and it is often not possible to determine who made these transactions, and the detected transactions take a very long time. It has been observed that my unauthorized accesses are mostly not caused by system errors or security vulnerabilities. It has been determined that these unauthorized accesses are caused by people sharing their identity information and passwords with another person.
In this study, a new authentication and authorization system has been developed to prevent individuals from sharing their identity and password information with each other. On this site, the user will be able to share their authority with people in their work environment. The person who is authorized on it will be confused with a second screen after the authentication is done while logging into the system, and on this screen, it will be ensured that which user wants to impersonate, select it and continue. In this study, Java-based Spring Boot, Spring Security and Angular libraries were used. As a result of this study, the proposed new authentication and authorization system is explained in the third chapter.
As a result of the study, it has been observed that a user can transfer his/her authority to another user and the other user can access the parts defined for him in the system by impersonating the authorized person, even though he is not authorized. Thus, every transaction made by the user impersonating the authorized person is recorded in the database. In this context, with this study, system and data security processes have gained a more dynamic structure. Thus, unauthorized persons are prevented from accessing the system.

Keywords: Authentication Systems, Authorization Systems, Unauthorized Access