Rozhraní pro programování aplikací (API)

26. srpna 2020 | Cybrary

Rozhraní pro programování aplikací (API) je sada definic a protokolů pro tvorbu a integraci aplikačního softwaru. API umožňují vašemu produktu komunikovat s jinými produkty a službami, aniž byste museli vědět, jak jsou implementovány. To zjednodušuje vývoj aplikací a šetří čas a peníze. Při navrhování nových nástrojů a produktů nebo při správě stávajících vám API poskytují flexibilitu, zjednodušují návrh, správu a používání.

Mezi známá API patří Google Maps, Amazon a YouTube. Tato API umožňují webovým designérům integrovat a vkládat produkty na své webové stránky. Webový designér může například chtít zákazníkům ukázat, kde se nachází jeho kancelář; může vložit Google Maps, aby zobrazil svou polohu na Google Mapě vložené do jeho vlastních webových stránek. YouTube API jsou jedním z nejběžnějších API, které umožňuje designérům vkládat na své webové stránky jakékoli video z YouTube. API v podstatě umožňují organizacím zachovat si vlastní značku a zároveň používat jinou službu nebo produkt, který je pro určitý úkol vhodnější.

Zdroj: RedHat , Webopedia

Další četba: OWASP Top Ten

Co to znamená pro majitele malých a středních podniků?

Samotní majitelé malých a středních podniků by se o zabezpečení API příliš nemuseli starat, ale jejich IT specialisté ano. API se stávají stále častějším cílem hackerů, protože si uvědomují, že je obtížné je správně zabezpečit. CyberHoot doporučuje dodržovat tyto postupy pro zabezpečení vašich API:

Viditelnost

Zdá se, že znalosti jsou mocí, pokud jde o viditelnost API. Vývojáři aplikací a uživatelé potřebují vědět, která API jsou publikována, jak a kdy jsou aktualizována, kdo k nim přistupuje a jak k nim ostatní přistupují. Pochopení rozsahu používání vlastního API je prvním krokem k jeho zabezpečení.

Řízení přístupu

Přístup k API musí být kontrolován, jinak může vést k nevhodnému odhalení. Zajištění, aby správná skupina uživatelů/aplikací měla odpovídající přístupová oprávnění pro každé API, je kritickým bezpečnostním požadavkem, který musí být koordinován se systémy správy identit a přístupu (IAM).

Zmírňování botů

V některých prostředích je až 90 % provozu dané aplikace (přihlášení/registrace k účtu, pokladna v nákupním košíku) generováno automatizovanými boty. Pochopení a správa profilů provozu, včetně rozlišování dobrých botů od špatných, je nezbytná pro prevenci automatizovaných útoků bez blokování legitimního provozu. Mezi účinná doplňková opatření patří implementace whitelistů, blacklistů, politik omezujících rychlost, CAPTCHA a také geofencing specifický pro případy užití a odpovídající koncové body API.

Prevence zneužití zranitelností

Rozhraní API zjednodušují procesy útoku tím, že eliminují webový formulář nebo mobilní aplikaci, což umožňuje útočníkovi snadněji zneužít cílenou zranitelnost. Ochrana koncových bodů API před zneužitím obchodní logiky a dalšími zneužitími zranitelností je klíčovým požadavkem na zmírnění bezpečnostních rizik API.

Prevence ztráty dat

Zabránění ztrátě dat přes exponovaná API pro uživatele s odpovídajícími privilegii nebo z jiných důvodů, ať už v důsledku programovacích chyb nebo mezer v bezpečnostních kontrolách, je také kritickým bezpečnostním požadavkem. Mnoho útoků na API je navrženo speciálně pro získání přístupu ke kritickým datům zpřístupněným ze serverů a systémů back-endu.

Závěry

Je důležité držet krok s nástroji a softwarem, které vaše firma používá. Ujistěte se, že jste informováni o nových zranitelnostech ve vaší infrastruktuře a službách založených na API. Přihlášení k odběru newsletteru o kybernetické bezpečnosti vám může pomoci udržet si přehled o těchto vznikajících bezpečnostních hrozbách. Sledujte newslettery CyberHoot a zaregistrujte se k odběru bezplatných měsíčních aktualizací. Uvědomění si bezpečnostních hrozeb, kterým čelíte, je prvním krokem k zabezpečení vašich systémů.