GERİ DÖN
Ders Öğretim Planı
| Dersin Kodu | Dersin Adı | Dersin Türü | Yıl | Yarıyıl | AKTS |
|---|---|---|---|---|---|
| SGM203 | MOBİL TEKNOLOJİLER VE GÜVENLİK | Ders | 2 | 3 | 5,00 |
Dersin Seviyesi
Önlisans
Dersin Sunulduğu Dil
Türkçe
Dersin Amacı
Bu dersin amacı; mobil teknolojilerin ve mobil işletim sistemlerinin (Android ve iOS) güvenlik mimarisini — uygulama sanal alanı (sandbox), izin modeli ve uygulama imzalama — öğrencilere kazandırmak; bir mobil uygulamanın proje/dosya yapısını ve yaşam döngüsünü (application lifecycle) çözümletmek; OWASP Mobile Top 10 ve OWASP MASVS çerçevesinde mobil uygulama zafiyetlerini tanıtmak; tersine mühendislik (jadx, apktool), yeniden paketleme ve imzalama, statik/dinamik analiz (MobSF, Frida) ile ağ trafiği ele geçirme tekniklerini izinli ve izole bir sanal laboratuvar (Proxmox + Android emülatörü) ortamında uygulamalı olarak öğretmektir. Ders; kök tespiti (root detection) ve SSL sabitleme (pinning) atlatma, güvensiz veri saklama, bulut arka uç (Firebase) ve API güvenliği gibi saldırı-savunma konularını, OWASP MAS zafiyetli uygulamaları senaryoları üzerinden ele alır ve tüm süreçleri mesleki etik, KVKK ve ISO/IEC 27001 çerçevesinde değerlendirir.
Dersi Veren Öğretim Görevlisi/Görevlileri
Öğr. Gör. Yudum Özkan
Öğrenme Çıktıları
| 1 | Mobil işletim sistemlerinin (Android/iOS) güvenlik mimarisini açıklayarak bir mobil uygulamanın proje/dosya yapısını ve yaşam döngüsünü çözümleyebilme. |
| 2 | OWASP Mobile Top 10 ve OWASP MASVS çerçevesinde mobil uygulamalardaki güvenlik zafiyetlerini tanımlayabilme ve sınıflandırabilme. |
| 3 | Tersine mühendislik araçlarını ve smali/dalvik kod düzeyini kullanarak bir mobil uygulamayı çözümleyebilme, yeniden paketleyebilme (rebuild) ve anahtar üreterek imzalayabilme. |
| 4 | Statik ve dinamik analiz araçlarıyla (MobSF, Frida, Burp Suite) mobil uygulama sızma testi senaryolarını — kök tespiti/SSL pinning atlatma, güvensiz veri saklama, API/ağ saldırıları — laboratuvar ortamında uygulayabilme. |
| 5 | Mobil uygulamalar için güvenli veri saklama, şifreleme, kimlik doğrulama ve ağ güvenliği (SSL pinning) tedbirlerini yapılandırarak sistem sıkılaştırma önlemlerini uygulayabilme. |
| 6 | Mobil uygulama güvenlik test bulgularını teknik standartlara uygun biçimde raporlayabilme ve süreci mesleki etik ile hukuki mevzuat (KVKK, ISO/IEC 27001) çerçevesinde değerlendirebilme |
Öğretim Sistemi
Birinci Öğretim
Dersin Ön Koşulu Olan Dersler
Yoktur
Ders İçin Önerilen Diğer Hususlar
Dersin uygulamalı doğası gereği öğrencilerin temel bilgisayar ve işletim sistemi kullanımı ile ağ güvenliği ve temel programlama bilgisine sahip olmaları önerilir. Ders kapsamındaki tüm saldırı teknikleri (tersine mühendislik, yeniden paketleme, kök tespiti/SSL pinning atlatma, ağ trafiği ele geçirme vb.) yalnızca izinli ve izole edilmiş sanal laboratuvar (Proxmox + Android emülatörü) ortamında, OWASP MAS zafiyetli uygulama senaryoları üzerinde, eğitim ve savunma amacıyla uygulanır. Bu tekniklerin izin alınmamış sistemler/uygulamalar üzerinde kullanılması 5237 sayılı TCK’nın 243–246. maddeleri kapsamında suç teşkil eder ve meslek etiğine aykırıdır.
Dersin İçeriği
Mobil güvenliğe ve mobil tehdit ortamına giriş; OWASP Mobile Top 10; Android ve iOS güvenlik mimarisi (sandbox, izin modeli, uygulama imzalama); mobil uygulama proje/dosya yapısı ve yaşam döngüsü; tersine mühendislik (jadx, apktool) ve smali/dalvik kod seviyesi; yeniden paketleme (repackaging), anahtar üretimi ve imzalama; root/jailbreak ve kök tespiti atlatma; mobil uygulama sızma testi metodolojisi (OWASP MASVS/MASTG) ve MobSF ile otomatik analiz; güvenli veri saklama ve şifreleme; bulut arka uç (Firebase) ve API güvenliği; ağ içi saldırılar, trafik ele geçirme ve SSL pinning; Frida ile dinamik enstrümantasyon; mobil güvenlik CTF; bütünleşik sızma testi, raporlama ve mesleki etik/mevzuat (KVKK, ISO/IEC 27001). Tüm uygulamalar izinli ve izole sanal laboratuvarda , OWASP MAS zafiyetli uygulamaları senaryoları üzerinde yürütülür.
Haftalık Ayrıntılı Ders İçeriği
| Hafta | Konular (Teorik) | Uygulama | Öğretim Yöntem ve Teknikleri | Ön Hazırlık |
|---|---|---|---|---|
| 1 | Mobil güvenliğe giriş; mobil tehdit ortamı; kötücül yazılım, kimlik avı, veri sızıntısı; OWASP Mobile Top 10 ve mobil güvenlik gizlilik–bütünlük–erişilebilirlik ilkeleri. | Android emülatörü ve test ortamının kurulumu; adb (Android Debug Bridge) ile temel cihaz keşfi. | Anlatım, Gösterme, Uygulama(pratik) | Kalaria, Böl. 2; OWASP Mobile Top 10; Paul & Saha, Böl. 3. |
| 2 | Android güvenlik mimarisi: uygulama sanal alanı (sandbox), Linux izin modeli, izinler (permissions), uygulama imzalama ve bileşenler (activity, service, broadcast, content provider). | APK dosyasının açılıp yapısının incelenmesi (AndroidManifest.xml, izinler, classes.dex, res/ kaynak klasörleri) ve izin analizi. | Anlatım, Gösterme, Laboratuvar, Soru-Yanıt | Kalaria, §1.2, §7.1–§7.2; MASTG “Android Platform Overview”. |
| 3 | Mobil uygulama geliştirmeye güvenlik bakışı: proje ve dosya mimarisi, kaynaklar, manifest; uygulama yaşam döngüsü (application lifecycle) ve güvenlik açısından önemi. | Basit bir Android uygulamasının geliştirilmesi, dosya yapısının ve yaşam döngüsü (lifecycle) geri çağırmalarının incelenmesi. (Kısa sınav-1) | Anlatım, Gösterme, Laboratuvar, Kısa Sınav (Quiz) | Kalaria, §1.8–§1.9, §5.3; Paul & Saha, Böl. 1. |
| 4 | iOS güvenlik mimarisi ve temelleri: uygulama sanal alanı, Keychain, kod imzalama ve güven zinciri; Android ile karşılaştırma | iOS uygulama proje yapısının, sandbox ve Keychain kavramlarının kavramsal/emülatör düzeyinde incelenmesi. | Anlatım, Örnek Vaka İncelemesi, Laboratuvar | MASTG “iOS Platform Overview”; Kalaria, Böl. 7 . |
| 5 | Tersine mühendislik — statik analiz ve kod seviyesi: APK’nın kaynak koda dönüştürülmesi (decompile), smali/dalvik ara kodun (bytecode) okunması ve kod inceleme. | Zafiyetli uygulamalarının kurulumu; jadx ile decompile ve apktool ile decode; Uygulamaların smali kodun çözümlenmesi. (Ödev-1) | Gösterme, Laboratuvar, Problem Çözümü, Ev Ödevi | MASTG “Android Tampering & Reverse Engineering” (statik); Paul & Saha, Böl. 5; Kalaria, §3.1–§3.2. |
| 6 | Yeniden paketleme ve imzalama: smali/dalvik düzeyinde düzenleme, uygulamanın yeniden derlenmesi, anahtar üretimi ve imzalama; yeniden paketlemenin başarılı/başarısız olduğu durumlar | Yeniden Paketleme → smali düzenleme → Yeniden Derleme → keytool ile anahtar üretimi + APK imzalama → kurulum; OWASP MAS UnCrackable-L1 uygulamasının yeniden paketlenmesi. | Gösterme, Uygulama(Pratik), Problem Çözümü | MASTG “Repackaging & Re-Signing”; Paul & Saha, Böl. 5. |
| 7 | Root ve Jailbreak işlemleri; kök tespiti (root detection) ve kurcalama önleme (anti-tampering) mekanizmaları ve bunların smali yaması ile atlatılması (bypass). | Zafiyetli QWASP MAS uygulamalarında smali yaması ile kök tespiti (root detection) atlatma senaryosu. | Gösterme, Benzetim (Simülasyon), Uygulama (Pratik) | MASTG “Android Anti-Reversing Defenses”; OWASP MAS Crackmes. |
| 8 | ARA SINAV | ARA SINAV | (1-7. Hafta Konuları) | |
| 9 | Mobil uygulama sızma testi metodolojisi: OWASP MASVS ve MASTG; test kategorileri; otomatik analiz. | MobSF ile statik ve dinamik otomatik analiz; MASTG-TESTS akışının uygulama üzerinde uygulanması. | Anlatım, Gösterme, Uygulama (Pratik), Örnek Vaka İncelemesi | OWASP MASVS + MASTG (genel); Kalaria, Böl. 7–8; Paul & Saha, Böl. 6. |
| 10 | Güvenli veri saklama ve şifreleme: yerel veri saklama riskleri, Android Keystore, hashing/şifreleme ve güvensiz veri saklama (insecure data storage) zafiyetleri. | Zafiyetli uygulama üzerinde güvensiz veri saklama senaryoları; Keystore ve yerel veri incelemesi. | Gösterme, Uygulama (Pratik), Problem Çözümü, Ev Ödevi | Kalaria, §8.1–§8.2; MASTG “Data Storage / Cryptographic APIs”. |
| 11 | Bulut arka uç ve API güvenliği: mobil uygulamaların arka uç servisleri, güvensiz API’ler, yanlış yapılandırılmış Firebase (Cloud) veri tabanları ve kimlik doğrulama zafiyetleri. | Zafiyetli uygulamada Firebase senaryosu ve Burp Suite ile API trafiğinin yakalanması ve incelenmesi. | Gösterme, Örnek Vaka İncelemesi, Uygulama (Pratik) | Kalaria, §2.6, §8.4; MASTG “Network APIs”; Paul & Saha, Böl. 5. |
| 12 | Ağ içi saldırılar ve trafik ele geçirme: ortadaki adam (MITM) saldırıları, HTTPS trafiğinin araya girilerek incelenmesi ve SSL sabitleme (certificate/SSL pinning). | Zafiyetli uygulama üzerinde ağ senaryoları; Burp Suite ile HTTPS trafiğinin yakalanması ve SSL pinning gözlemi. (Kısa sınav-2) | Gösterme, Uygulama (Pratik), Tartışma, Kısa Sınav (Quiz) | Kalaria, §2.3, §8.4; MASTG (SSL pinning); Paul & Saha, Böl. 5. |
| 13 | Dinamik enstrümantasyon (runtime instrumentation): Frida ile fonksiyon hooklama; SSL pinning ve kök tespiti (root detection) atlatmanın çalışma zamanında (dinamik) gerçekleştirilmesi. | Frida ile fonksiyon hooklama; Zafiyetli uygulama üzerinde SSL pinning ve root detection bypass. | Gösterme, Uygulama (Pratik), Problem Çözümü, Ev Ödevi | MASTG “Reverse Engineering — Dynamic Analysis (Frida)”; OWASP MAS . |
| 14 | Uygulamalı sentez: mobil güvenlik CTF (Capture the Flag) pratiği; dönem boyunca öğrenilen statik/dinamik tekniklerin bir arada kullanılması. | CTF tarzı bütünleşik zafiyet çözme senaryoları. | Benzetim (Simülasyon), Uygulama (Pratik), Problem Çözümü | OWASP MAS Crackmes / InjuredAndroid; dönem içi föyler. |
| 15 | Bütünleşik mobil uygulama sızma testi ve raporlama; test bulgularının teknik standartlara uygun raporlanması; mesleki etik, KVKK ve ISO/IEC 27001 çerçevesinde değerlendirme. Dönem sonu genel değerlendirmesi. | Seçili bir zafiyetli uygulama üzerinde bütünleşik mini sızma testi, bulguların raporlanması ve sunumu. | Örnek Vaka İncelemesi, Rapor Sunma, Sunum, Tartışma | Paul & Saha, Böl. 7 (raporlama); Kalaria, Böl. 6 (Güvenli SDLC); 6698 sayılı KVKK; ISO/IEC 27001. |
| 16 | YARIYIL SONU SINAVI (FİNAL) | YARIYIL SONU SINAVI (FİNAL) | tüm konular |
Ders Kitabı / Malzemesi / Önerilen Kaynaklar
Kalaria, S., Securing Android Apps, CRC Press. OWASP MASTG ve MASVS v2 (mas.owasp.org); OWASP Mobile Top 10. Paul, A. & Saha, S., Mobile Penetration Testing: A Hands-On Approach, Routledge, 2024. OWASP MAS zafiyetli uygulamaları Abraham, A., MobSF ile Otomatik Güvenlik Analizi (Syngress, 2016); Au & Choo, Mobile Security and Privacy (Elsevier, 2017). Öğretim elemanı ders notları ve laboratuvar föyleri (EgeDers).
Planlanan Öğrenme Aktiviteleri ve Metodları
Ara Sınav · Ara Sınav İçin Bireysel Çalışma · Bireysel Çalışma · Derse Katılım · Ev Ödevi · Gösterme · Kısa Sınav (Quiz) · Laboratuvar · Örnek Vaka İncelemesi · Problem Çözümü · Soru-Yanıt · Tartışma · Final Sınavı · Final Sınavı için Bireysel Çalışma · Rapor Hazırlama · Rapor Sunma
Değerlendirme
| Yarıyıl (Yıl) İçi Etkinlikleri | Adet | Değer |
|---|---|---|
| Ara Sınav | 1 | 40 |
| Quiz | 2 | 20 |
| Rapor Hazırlama | 1 | 10 |
| Ev Ödevi | 3 | 30 |
| Toplam | 100 | |
| Yarıyıl (Yıl) Sonu Etkinlikleri | Adet | Değer |
| Final Sınavı | 1 | 90 |
| Ev Ödevi | 1 | 10 |
| Toplam | 100 | |
| Yarıyıl (Yıl) İçi Etkinlikleri | 60 | |
| Yarıyıl (Yıl) Sonu Etkinlikleri | 40 | |
Staj Durumu
Yoktur
İş Yükü Hesaplaması
| Etkinlikler | Sayısı | Süresi (saat) | Toplam İş Yükü (saat) |
|---|---|---|---|
| Ara Sınav | 1 | 1 | 1 |
| Final Sınavı | 1 | 2 | 2 |
| Quiz | 2 | 0 | 1 |
| Derse Katılım | 14 | 3 | 42 |
| Uygulama/Pratik | 14 | 2 | 28 |
| Rapor Hazırlama | 1 | 0 | 0 |
| Bireysel Çalışma | 14 | 3 | 42 |
| Ara Sınav İçin Bireysel Çalışma | 1 | 14 | 14 |
| Final Sınavı içiin Bireysel Çalışma | 1 | 8 | 8 |
| Ev Ödevi | 3 | 5 | 15 |
| Toplam İş Yükü (saat) | 153 | ||
Program ve Öğrenme Çıktıları İlişkisi
| PÇ 1 | PÇ 2 | PÇ 3 | PÇ 4 | PÇ 5 | PÇ 6 | PÇ 7 | PÇ 8 | PÇ 9 | PÇ 10 | PÇ 11 | PÇ 12 | PÇ 13 | PÇ 14 | PÇ 15 | |
| ÖÇ 1 | 3 | 4 | |||||||||||||
| ÖÇ 2 | 5 | 3 | |||||||||||||
| ÖÇ 3 | 4 | 5 | |||||||||||||
| ÖÇ 4 | 5 | 5 | |||||||||||||
| ÖÇ 5 | 2 | 5 | 4 | ||||||||||||
| ÖÇ 6 | 4 | 4 | 3 |
* Katkı Düzeyi : 1 Çok düşük 2 Düşük 3 Orta 4 Yüksek 5 Çok yüksek