CBS UYGULAMALARINDA XML VE VERİ GÜVENLİĞİ

Transkript

1 TMMOB COĞRAFİ BİLGİ SİSTEMLERİ KONGRESİ Kasım 2009, İzmir CBS UYGULAMALARINDA XML VE VERİ GÜVENLİĞİ H.İ. Çatal 1, H. Çatal 2 1 TKGM, Tapu Kadastro VI. Bölge Müdürlüğü, Antalya, [email protected] 2 GU, Gümüşhane Üniversitesi, Jeodezi ve Fotogrametri, Fotogrametri Anabilim Dalı Gümüşhane, [email protected] ÖZET Birçok kamu kurum ve kuruluşu ile özel sektör tarafından harita ve harita bilgileri üretimi yapılmaktadır. Üretilen bu harita ve harita bilgilerinin coğrafi tabanlı bilgi sistemlerinde kullanılabilmesi için belirli bir standart ve format içerisinde olması gerekmektedir. Verilerin saklanmasında veya kullanıcılara aktarılmasında web tabanlı servisler kullanmaktadır. Verilerin saklanması ve paylaşılmasında seçilen veri tabanları ve verilerin paylaşım şekli bilgi sisteminin kullanılabilirliğini etkilemektedir. Birçok web tabanlı servis Genişletilebilir İşaretleme Dili ( XML - Extensible Markup Language ) veri ağacı yapısı kullanılmaktadır. Verilerin XML aracılığı ile kullanılması çalışma hızı,kalitesi ve güvenliğini arttırmaktadır. Anahtar Sözcükler: Coğrafi Veri Altyapısı, Web Servis Yönetimi, Coğrafi Veri Standartları, Veri Güvenliği, XML ABSTRACT XML AND DATA SECURITY ON GIS APPLICATIONS Map and map information is being produced by many public institutions and as well private sector. The maps and map informations must be in a standart and specific format to use on geographic-based data systems. Web-based services were used in order for saving data and transfering to users. Databases which is selected to save and transfer the datas and the method of sharing datas affect the availability of data system. Many web-based services use XML - Extensible Markup Language and data tree structure. Using data via XML increases the operating speed, quality and security. Keywords: Geographic Data Infrastructure, Web Service Management, Geographic Data Standard, Data Security, XML. GİRİŞ Birçok kamu kurum ve kuruluşu ile özel sektör tarafından harita ve harita bilgileri üretimi yapılmaktadır. Üretilen bu harita ve harita bilgilerinin coğrafi tabanlı bilgi sistemlerinde kullanılabilmesi için belirli bir standart ve format içerisinde olması gerekmektedir. Hizmete sunulacak bu verilerin saklanması ve aktarılması için uygun donanımsal ve yazılımsal altyapıya sahip olmak büyük önem taşımaktadır. Bu amaçla birçok kamu kurum ve kuruluşu bu verilerin saklanmasında ve/veya kullanıcılara aktarılması için kendilerine özgü Coğrafi Bilgi Sistemlerinden (CBS) (GIS-Geographic Information System) faydalanmaktadırlar. (Örneğin Tapu ve Kadastro Bilgi Sistemi, Orman Bilgi Sistemi vb.) CBS, verilerin toplanması, depolanması, işlenmesi, yönetimi, mekansal analizi, sorgulaması ve sunulması fonksiyonlarını yerine getiren donanım, yazılım ve bu işleri yapan personellerden oluşur. Bir bilgi sisteminin tam anlamıyla kullanılabilmesi için bazı temel işlevleri yerine getirmesi gerekir. Bu temel işlevler; - Veri Toplama: Coğrafik veriler toplanılması, sayısal olmayan veriler var ise bu verilerinde sayısallaştırılarak (digitizing) bilgi sisteminde kullanılabilecek hale getirilmesi gerekmektedir. - Veri Yönetimi: Küçük boyutlu CBS projelerinde coğrafik bilgilerin sınırlı boyuttaki basit dosyalarda saklanması mümkündür. Ancak, veri hacimlerinin geniş ve kapsamlı olması, bunun yanında birden çok veri gruplarının kullanılması durumunda Veri Tabanı Yönetim Sistemleri (Data Base Management Systems) verilerin saklanması, organize edilmesi ve yönetilmesine yardımcı olur. Veri tabanı yönetim sistemleri bir bilgisayar yazılımı olup veri tabanlarını yönetir veya birleştirir. - Veri İşleme: Bilgi sistemini oluşturacak olan kurum veya kuruluşların ihtiyaçlarına göre veri çeşitlerinin birbirine dönüşümü veya analiz edilmesi gerekebilmektedir. CBS teknolojisi artık coğrafik verileri istatistiksel grafikler ve "eğer olur ise " (if conditions) şeklindeki mantık sorgulamaları ve senaryolar şeklinde irdeleme aşamasına gelmiştir. CBS teknolojisi konumsal verilerin sorgulanması ve analizinde, yazılımlar sayesinde, birçok veri her türlü geometrik ve mantıksal işleme tabi tutulabilir.

2 CBS UYGULAMALARINDA XML VE VERİ GÜVENLİĞİ - Veri Sunumu: Görsel işlemler yine CBS için önemli bir işlevdir. Birçok coğrafik işlemin sonunda yapılanlar harita veya grafik gösterimlerle görsel hale getirilir. Haritalar coğrafik bilgiler ile kullanıcı arasındaki en iyi iletişimi sağlayan araçlardır. Haritalar, yazılı raporlarla, üç boyutlu gösterimlerle, fotoğraf görüntüleri ve çokortamlı (multimedia) ve diğer çıktı çeşitleriyle birleştirebilmektedir. Günümüzde, farklı programlama dilleriyle yaratılmış, veri standartları kullanan ve farklı işletim sistemlerinde çalışan bir grup uygulamayı bir araya getirerek kullanabilmektedir. Web Servisleri, bu tür entegrasyonları kullanabileceğimiz ara yüzler sağlayarak, işlerimizi internet üzerinden platformdan, dilden ve nesne modelinden bağımsız olarak yapabilmemize olanak tanır. Web Servislerine erişim standart bir ara yüz aracılığıyla gerçekleştiği için birbirinden tamamen farklı sistemlerin birlikte çalışabilmesine olanak verir. XML veri standardı, platformdan bağımsız oluşu ve entegrasyon ve standardizasyon kolaylığı ile web servisleri teknolojisinin temel yapı taşlarından biridir. Halen kullanılmakta olan bu veri yönetimi ve işleme protokolleri genel olarak üç isim altında incelenebilir. SOAP: Basit nesne erişim iletişim kuralı (SOAP- Simple Object Access Protocol), XML temeli üzerine oluşturulmuştur. Uygulamaların birbirlerine çağrı yapabilmeleri için oluşturulmuş bir standarttır. Uygulamaların internet aracılığıyla birbirlerinden nasıl bir istekte bulunacağını, bir isteğe nasıl karşılık verileceğini tanımlar. Kısacası internet üzerinden dağıtılan uygulamalar geliştirmemizi mümkün hale getirir. UDDI: Evrensel açıklama, keşif ve entegrasyon (Universal Description, Discovery and Integration), web servisleri ile ilgili olarak bir adres defteri işlevi görür. UDDI, XML Web Servisleri sunan şirketlerin bulunmasını sağlar. UDDI ve XML web servisleri sayesinde Internet üzerinden yaptığımız arama işlemlerimizi çok daha kısa zamanda ve doğru olarak yapabiliriz. WSDL: Web hizmetleri tanımlama dili (Web Services Description Language), bir XML web servisinden hangi işlevlerin sağlanabileceğini, bu işlevleri çağırmak için hangi parametrelerin girilmesi gerektiğini ve servisten dönecek olan verinin tipinin ne olduğunu tanımlamaya yönelik bir standarttır. İstemci (client) HTTP protokolünü kullanarak sunucuya (server) istemini iletir ve sunucu bu istemi XML standardına göre işleyip yanıtını yine XML verileri halinde saklar. Web servislerinin kullanılabilmesinde, geliştirilebilmesinde ve diğer uygulamalarla bütünleştirilebilmesinde XML veri standardına geçilmiş olması çok önemli bir aşama teşkil etmektedir. XML, bu tür uygulamaların daha da geliştirilip yaygınlaşmasını sağlayacaktır. Web tabanlı servislerde veriler statik veya dinamik olarak kullanılmaktadır. Dinamik kullanıma örnek olarak Kişisel Ana Sayfalar ( PHP - Personal Home Pages ) ve Etkin Sunucu Sayfaları ( ASP - Active Server Pages ) verilebilir. Statik kullanıma örnek olarak ise - Zengin Metin İşaret Dili ( HTML - Hyper Text Markup Language) dir. HTML bir markup dili olup bu dilde veriler bazı işaretlerle (etiket) işaretlenirler. Örneğin HTML kodunda bir başlık yazısı < h1> etiketi ile işaretlenir. Markup dillerinde veri aktarımı için kullanılan bazı standartlar vardır.bunlardan bir tanesi de Genişletilebilir İşaretleme Dili ( XML - Extensible Markup Language ) dir. XML hem insanlar hem bilgi işlem sistemleri tarafından kolayca okunabilecek dokümanlar oluşturmaya yarayan, Dünya Çapında Ağ Birliği ( W3C - World Wide Web Consortium ) tarafından tanımlanmış bir standarttır. Bu özelliği ile veri saklamanın yanında farklı sistemler arasında veri alışverişi yapmaya yarayan bir ara format görevi de görmektedir. XML' de verinin ve görüntünün birbirinden ayrılmıştır. XML de verileri ağaç veri yapılarından oluşmakta ve veri yolları etiketler ile işaretlenmektedir. Örneğin; <yazar> <adi>hatice</adi> <soyadı>çatal</soyadı> <mail>[email protected]</mail> </author> <date> </date> <image src="makale.jpg" /> <title>cbs Günleri</title>

3 Çatal ve Çatal Bu veri ağaçları sayesinde kendimize özgü veri etiketleri oluşturabilir verileri kullanacağımız zaman bu etiketlerin göstererek istediğimiz verileri çağırma imkanımız doğar. Bu durum içerik yönetim sistemlerinde önemli bir avantaj sağlamaktadır. Böylelikle CBS nin temel işlevlerinden olan veri yönetimi ve sunumunda birçok kolaylık sağlamaktadır. Veri alt yapısının oluşturulmasında belirli standartların ve paylaşılabilirlik ön planda tutulmasına karşın bu oluşturulan bilgi sistemlerinin güvenliğinin sağlanması ise ayrı bir sorun olarak ortaya çıkmaktadır. Sistem güvenliğinde genellikle kullanıcı şifrelerine ulaşılmasını engellemek ve bu bilgilerin güvenli olarak saklanması temel stratejidir. XML ile oluşturulmuş web servislerinde paylaşıma açılacak verilerin yanında, kullanıcı adı ve şifre bilgileri belirli işaretlemeler yardımı ile saklanır. XML de bilgiler gerektiğinde bulmak için yol belirteçleri (Xpath - Path experssion) kullanılmaktadır. Xpath her ne kadar istenilen verilere kolay ulaşımı sağlıyor olsa da Xpath enjeksiyon olarak tabir edilen yöntemle sistem üzerine çeşitli sorgular çalıştırılarak verilere izin verilen kullanıcılar dışında sistem veri tabanına ulaşmak mümkün olmaktadır. Hatta kullanıcı adı ve şifre bilgisi olmaksızın sisteme sızarak veri alış verişi sağlamanın yolunu açmaktadır. Xpath Enjeksiyonu XPath enjeksiyonu, kullanıcı kaynaklı girdilerden Xpath sorguları oluşturan web sitelerini sömürmek için kullanılan bir tekniktir. Xpath 1.0 bir XML dokümanının parçalarını işaret etmek için kullanılabilir. Doğrudan uygulama tarafından bir XML dokümanını sorgulamak için kullanılabildiği gibi, XSTL dokümanının XML dokümanına dönüşümü veya XML dokümanına Xquery uygulanması gibi daha büyük bir işlemin parçası olarak da kullanılabilir. Xpath kullanarak bir xml dokümanında SQL benzeri sorgular oluşturmak mümkündür. Örneğin, kullanıcı isimli bir elemanı olan bir XML dokümanı olsun ve bütün bu kullanıcıların isim, parola ve hesap isimli 3 tane alt elemanı olsun. Takip eden Xpath ifadesi kullanıci1 isimli ve Demo1234 parolalı kullanıcının hesap numarasını verir. (veya böyle bir kullanıcı yoksa boş dize verir.) string(//user[isim/text()="kullanıci1" and parola/text()="demo1234"]/hesap/text()) Eğer bir uygulama, Xpath sorgusunu yürütme esnasında oluşturuyorsa, sorguya güvenli olmayan kullanıcı girdisi gömerek sorguya veri enjekte edebilir ve yeni oluşan sorgu programcının isteğinin dışında çalışabilir. Örnek; Düşünün ki bir web uygulaması bir XML dokümanına sorgu yapmak için Xpath kullanıyor ve ismi ve parolası girilen bir kullanıcının hesap numarasını getiriyor. Bu uygulama bu değerleri doğrudan Xpath sorgusunun içine gömebilir ve güvenlik açığı oluşturabilir. (Microsoft ASP.NET ve C# kullanılarak) XmlDocument XmlDoc = new XmlDocument(); XmlDoc.Load("..."); XPathNavigator nav = XmlDoc.CreateNavigator(); XPathExpression expr = nav.compile("string(//kullanıcı[name/text() =""+TextBox1.Text+""and password/text()=""+textbox2.text+ ""]/account/text())"); String account=convert.tostring(nav.evaluate(expr)); if (account=="") { // name+password pair is not found in the XML document // login failed. } else { // account found -> Login succeeded. // Proceed into the application. }

4 CBS UYGULAMALARINDA XML VE VERİ GÜVENLİĞİ Bu kod kullanıldığında, bir saldırgan Xpath ifadeleri enjekte edebilir ve örneğin, takip eden değeri kullanıcı adı olarak sağlayabilir. " or 1=1 or ""=" Bu orjinal Xpath in anlamının değişmesine ve her zaman XML dokümanındaki ilk hesap numarasının dönmesine sebep olur. Bu durumda sorgu, string(//kullanıcı[isim/text()="" or 1=1 or ""="" and parola/text()="foobar"]/hesap/text()) Bu(önermedeki eşitlik her zaman doğru olacağından ; string(//kullanıcı/hesap/text()) ve ilk //kullanıcı/hesap/text() örneğini ile aynı işlevi sağlayacaktır. Böylelikle doğru kullanıcı adı ve parolası girmediği halde saldırganın sisteme girişine imkan sağlar. Ancak doğru tanımlamalar ve gerekli güvenlik yazılımları ile sistemde bu tür açıklar kapatılabilmektedir. FortiWeb bu yazılımlara bir örnek olup, FortiWeb uygulaması XML güvenliği yanı sıra, uygulama hızlandırma ve sunucuda yük paylaşımı sağlamak için sıradan web uygulaması güvenlik duvarlarının ötesine geçer. Güvenliğin yanı sıra FortiWeb-1000B trafiği dağıtmak ve içeriği çoklu web sunucuları arasında yönlendirmek için zeki, uygulama farklılıklarında yük paylaşımı yapan motor çalıştırır. Bu yük paylaşımı kaynak kullanımını, uygulama kararlılığını ve sunucu yanıt sürelerini artırır. SONUÇ Veri alt yapıları oluşturulurken XML kullanımının bazı avantajlarını sayacak olursak; - XML dokümanları verinin içeriğiyle ilgilenmektedirler. Bu sayede verilerin içerik, yapı ve sunum kısımları ayrı modüller halinde farklı XML dokümanlarında tutulmaktadır. XML dokümanları Veri Adaları (Data Islands) adı verilen teknik sayesinde HTML sayfaları içerisinde de depolanabilmektedir. Bu teknik sayesinde verinizin sadece sunumuyla ilgilenilmektedir. - XML yapısının esnekliği sayesinde birbirine uyumlu olmayan sistemler arasında veri alış verişini rahatlıkla gerçekleştirmektedir. - Verinin XML formatına çevrilmesi ile farklı sistemler ve uygulamalardaki verilerin karmaşıklık derecesi indirgenerek alış veriş işleminin kolaylaştırılması sağlanır. - XML ile verinin paylaşımı kolaylaştırılır. XML, veriyi düz metin (plain text) formatında saklamasından dolayı veriyi paylaştırma konusunda da hem yazılım hem de donanımdan bağımsız hareket edebilme imkanını sunmaktadır. Bunun sayesinde farklı uygulamalarda hareket eden farklı veri tipleriyle çalışmak daha da kolaylaşır. Ayrıca işletim sistemlerinin yükseltgenmesi, sunucu, uygulama vb. dışsal faktörlerin yenilenmesi gibi dışsal faktörlerden de asgari ölçüde etkilenilmiş olunur. - XML, yazılım, donanım ve uygulamalardan bağımsız olduğu için verinin daha elverişli olarak kullanımını sağlamaktadır. Yani başka istemci (client) veya uygulamalar tıpkı veri kaynaklarına erişiyormuş gibi XML dosyalarına rahatlıkla erişebilirler. - XML, verilerin doğru ve düzenli bir şekilde tanımlanması web servislerinin hizmet kalitesini ve hızlı veri sunumu sağlamasının yanı sıra sistemimizin de güvenliğini artırılmasına yardımcı olacaktır.

5 Çatal ve Çatal KAYNAKLAR URL 1, Vikipedi, Özgür Ansiklopedi İnternet Sitesi, URL 2, Yazılım Günlüğü İnternet Sitesi, 10Ağustos 2007.