Κίνδυνοι και συστάσεις ασφαλείας API

Οι ειδικοί προειδοποιούν τους επαγγελματίες ασφαλείας για την επόμενη μεγάλη απειλή που πλήττει τον κυβερνοχώρο: τις επιθέσεις Application Programming Interface (API) . Τα API λειτουργούν για να βελτιώσουν την απόδοση των συστημάτων ενσωματώνοντας τις υπηρεσίες άλλων ιστότοπων στις δικές σας. Τα δημοφιλή API περιλαμβάνουν τους Χάρτες Google, το YouTube και το Twitter, επιτρέποντας σε έναν δημιουργό ιστότοπων να ενσωματώνει Χάρτες, κλιπ YouTube ή Tweets στις δικές του ιστοσελίδες. Καθώς αυτά τα εργαλεία έχουν αναπτυχθεί, οι χάκερ έχουν βρει τρόπους να τα εκμεταλλευτούν για να διαπράξουν απάτες και να κλέψουν δεδομένα.

Οι δέκα κορυφαίοι κίνδυνοι του OWASP API

Καθώς οι χάκερ στρέφουν την προσοχή τους στο hacking API, αποτελούν κίνδυνο για τις επιχειρήσεις που τους χρησιμοποιούν στους ιστότοπούς τους. Οι αξιόπιστοι φίλοι μας στην OWASP έχουν κωδικοποιήσει τους σημαντικότερους κινδύνους ασφαλείας που σχετίζονται με τα API:

1. Σπασμένη Εξουσιοδότηση Επιπέδου Αντικειμένου. Ο μοναδικός σκοπός των API είναι η παροχή απομακρυσμένης πρόσβασης σε δεδομένα. Τα δικαιώματα πρόσβασης σε ορισμένα API πρέπει να οριστούν ώστε να αποτρέπουν την πρόσβαση ενός χρήστη στα δεδομένα ενός άλλου χρήστη. Αυτό γίνεται μέσω Εξουσιοδότησης σε Επίπεδο Αντικειμένου. Βεβαιωθείτε ότι τα API σας περιορίζουν την πρόσβαση στους κατάλληλους χρήστες για να μειώσετε αυτόν τον κίνδυνο. Για παράδειγμα, ένα απλό API ηλεκτρονικού εμπορίου μπορεί να παραθέτει τις πωλήσεις του καταστήματός σας. Η σωστή Εξουσιοδότηση σε Επίπεδο Αντικειμένου εμποδίζει άλλους κατόχους καταστημάτων να υποβάλλουν ερωτήματα για τις πωλήσεις του καταστήματός σας. 
2. Κακή πιστοποίηση χρήστη. Οι μηχανισμοί ελέγχου ταυτότητας συχνά εφαρμόζονται εσφαλμένα, επιτρέποντας στους εισβολείς να θέσουν σε κίνδυνο διακριτικά ελέγχου ταυτότητας ή να εκμεταλλευτούν ελαττώματα υλοποίησης για να υποθέσουν προσωρινά ή μόνιμα την ταυτότητα άλλων χρηστών. Η παραβίαση της ικανότητας ενός συστήματος να αναγνωρίζει τον πελάτη/χρήστη θέτει σε κίνδυνο την ασφάλεια του API συνολικά.
3. Υπερβολική έκθεση σε δεδομένα. Οι προγραμματιστές συχνά εκθέτουν ακούσια σύνολα δεδομένων API. Εφαρμόζουν την αρχή των ελαχίστων προνομίων για να μειώσουν την πιθανότητα έκθεσης εμπιστευτικών δεδομένων. Στο παράδειγμά μας για το ηλεκτρονικό εμπόριο, επιτρέψτε στο κατάστημα Α πρόσβαση μόνο στα δεδομένα του Α και στο κατάστημα Β πρόσβαση μόνο στα δεδομένα του Β. 
4. Έλλειψη περιορισμών ερωτημάτων και ορίου ρυθμού. Τα API δεν επιβάλλουν περιορισμούς στο μέγεθος ή τον αριθμό των πόρων που μπορούν να ζητηθούν από τον πελάτη/χρήστη. Αυτό όχι μόνο μπορεί να επηρεάσει την απόδοση του διακομιστή API, αλλά και να οδηγήσει σε Άρνηση παροχής υπηρεσίας (DoS), αλλά επιτρέπει επίσης επιθέσεις ελέγχου ταυτότητας όπως ένα βίαιη επίθεση σχετικά με τα διαπιστευτήρια. 
5. Κακή Εξουσιοδότηση Επιπέδου Λειτουργίας. Πολύπλοκες πολιτικές ελέγχου πρόσβασης με διαφορετικές ομάδες και ρόλους, καθώς και αδυναμία σωστού διαχωρισμού των διοικητικών και των κανονικών λειτουργιών. Αυτά τα λάθη API αποτελούν ελαττώματα εξουσιοδότησης. Εκμεταλλευόμενοι αυτά τα ζητήματα, οι εισβολείς αποκτούν πρόσβαση σε πόρους ή/και διοικητικές λειτουργίες άλλων χρηστών.
6. Μαζική Ανάθεση. Τα API εκ κατασκευής εκθέτουν τις υποκείμενες συναρτήσεις πρόσβασης δεδομένων στους χρήστες. Τα API πρέπει να περιορίζουν όλα τα αιτήματα δεδομένων σε ένα συγκεκριμένο σύνολο κλήσεων συναρτήσεων. Αυτό μειώνει τον κίνδυνο ακατάλληλης τροποποίησης ή πρόσβασης αντικειμένων απλώς μαντεύοντας τις ιδιότητες των αντικειμένων, εξερευνώντας άλλα τελικά σημεία API, διαβάζοντας την τεκμηρίωση ή παρέχοντας πρόσθετες ιδιότητες αντικειμένων σε φορτία αιτημάτων.
7. Λανθασμένη ρύθμιση παραμέτρων ασφαλείας. Η λανθασμένη διαμόρφωση ασφαλείας είναι συνήθως αποτέλεσμα μη ασφαλών προεπιλεγμένων, ελλιπών ή ad-hoc διαμορφώσεων, ανοιχτού χώρου αποθήκευσης στο cloud, λανθασμένα διαμορφωμένων κεφαλίδων HTTP, περιττών μεθόδων HTTP, επιτρεπόμενης κοινής χρήσης πόρων Cross-Origin (CORS) και λεπτομερών μηνυμάτων σφάλματος που περιέχουν ευαίσθητες πληροφορίες. Για παράδειγμα, μια αποτυχία σύνδεσης στο web δεν πρέπει να αποκαλύπτει εάν το όνομα χρήστη υπάρχει στον ιστότοπο.
8. Ενεση. Τα ελαττώματα έγχυσης, όπως SQL, NoSQL, έγχυση εντολών κ.λπ., εμφανίζονται όταν αποστέλλονται μη αξιόπιστα δεδομένα σε έναν διερμηνέα ως μέρος μιας εντολής ή ερωτήματος. Τα κακόβουλα δεδομένα του εισβολέα μπορούν να ξεγελάσουν τον διερμηνέα ώστε να εκτελέσει ακούσιες εντολές ή να αποκτήσει πρόσβαση σε δεδομένα χωρίς την κατάλληλη εξουσιοδότηση.
9. Ακατάλληλη Διαχείριση Περιουσιακών Στοιχείων. Τα API τείνουν να εκθέτουν περισσότερα τελικά σημεία από τις παραδοσιακές εφαρμογές ιστού, γεγονός που καθιστά εξαιρετικά σημαντική την κατάλληλη και ενημερωμένη τεκμηρίωση. Η ισχυρή τεκμηρίωση όλων των αναπτύξεων και εκδόσεων των API οδηγεί σε έγκυρα αποθέματα. Όταν εντοπίζονται σφάλματα ή ευπάθειες στο API σας και διορθώνονται, το απόθεμά σας βοηθά να διασφαλιστεί ότι όλα διατηρούνται ενημερωμένα. 
10. Ανεπαρκής καταγραφή και παρακολούθηση. Η ανεπαρκής καταγραφή και παρακολούθηση, σε συνδυασμό με την ελλιπή ή αναποτελεσματική ενσωμάτωση με την αντιμετώπιση περιστατικών, οδηγεί σε πολλά προβλήματα. Αυτό επιτρέπει στους εισβολείς να εκμεταλλεύονται συστήματα, να ρυθμίζουν και να διατηρούν την ανθεκτικότητα, να στραφούν σε επιθέσεις σε περισσότερα συστήματα και να εξάγουν ή να καταστρέφουν δεδομένα. Οι περισσότερες μελέτες παραβιάσεων καταδεικνύουν ότι ο χρόνος ανίχνευσης μιας παραβίασης είναι πάνω από 200 ημέρες, και συνήθως ανιχνεύεται από εξωτερικά μέρη και όχι από εσωτερικές διαδικασίες ή παρακολούθηση.

Απαιτήσεις ασφαλείας

Με την αύξηση της υιοθέτησης API, υπάρχει και αύξηση των επιθέσεων χάκερ που στοχεύουν αυτά τα API. Οι ειδικοί συνιστούν στους σχεδιαστές και τους προγραμματιστές να εφαρμόζουν τις ακόλουθες απαιτήσεις ασφαλείας όταν χειρίζονται εφαρμογές που περιλαμβάνουν API: 

Ορατότητα

Η «γνώση είναι δύναμη» είναι η κατάλληλη επιλογή όσον αφορά την ορατότητα των API. Οι προγραμματιστές εφαρμογών και οι χρήστες πρέπει να γνωρίζουν ποια API δημοσιεύονται, πώς και πότε ενημερώνονται, ποιος έχει πρόσβαση σε αυτά και πώς γίνεται η πρόσβαση σε αυτά. Η κατανόηση του εύρους χρήσης των API από κάποιον είναι το πρώτο βήμα για την ασφάλειά τους.

Έλεγχος πρόσβασης

Η πρόσβαση στα API συχνά ελέγχεται χαλαρά, οδηγώντας σε ανεπιθύμητη έκθεση. Η διασφάλιση ότι το σωστό σύνολο χρηστών έχει τα κατάλληλα δικαιώματα πρόσβασης για κάθε API αποτελεί κρίσιμη απαίτηση ασφαλείας που πρέπει να συντονίζεται με τα συστήματα Διαχείρισης Ταυτοτήτων και Πρόσβασης (IAM).

Μετριασμός των bot

Σε ορισμένα περιβάλλοντα, έως και το 90% της αντίστοιχης επισκεψιμότητας εφαρμογών (σύνδεση/εγγραφή λογαριασμού, ολοκλήρωση αγοράς στο καλάθι αγορών) παράγεται από αυτοματοποιημένα bots. Η κατανόηση και η διαχείριση των προφίλ επισκεψιμότητας, συμπεριλαμβανομένης της διαφοροποίησης των καλών bots από τα κακά, είναι απαραίτητη για την αποτροπή αυτοματοποιημένων επιθέσεων χωρίς να μπλοκάρεται η νόμιμη επισκεψιμότητα. Αποτελεσματικά συμπληρωματικά μέτρα περιλαμβάνουν την εφαρμογή λευκής λίστας, μαύρης λίστας, πολιτικών περιορισμού ρυθμού, CAPTCHA, καθώς και γεωγραφικής οριοθέτησης ειδικά για περιπτώσεις χρήσης και αντίστοιχα τελικά σημεία API.

Πρόληψη εκμετάλλευσης ευπάθειας

Τα API απλοποιούν τις διαδικασίες επίθεσης εξαλείφοντας τη διαδικτυακή φόρμα ή την εφαρμογή για κινητά, επιτρέποντας σε έναν κακόβουλο παράγοντα να εκμεταλλευτεί πιο εύκολα μια στοχευμένη ευπάθεια. Η προστασία των τελικών σημείων API από την κατάχρηση επιχειρηματικής λογικής και άλλες εκμεταλλεύσεις ευπαθειών αποτελεί βασική απαίτηση μετριασμού της ασφάλειας των API.

Πρόληψη απώλειας δεδομένων

Η αποτροπή απώλειας δεδομένων μέσω εκτεθειμένων API για χρήστες με κατάλληλα προνόμια ή για οποιονδήποτε άλλο λόγο, είτε λόγω σφαλμάτων προγραμματισμού είτε λόγω κενών ελέγχου ασφαλείας, αποτελεί επίσης κρίσιμη απαίτηση ασφαλείας. Πολλές επιθέσεις API έχουν σχεδιαστεί ειδικά για την απόκτηση πρόσβασης σε κρίσιμα δεδομένα που διατίθενται από διακομιστές και συστήματα back-end.

Πορεία προς τα εμπρός

Είναι σημαντικό να παραμένετε ενημερωμένοι με τα εργαλεία και το λογισμικό που χρησιμοποιείτε συχνά και να διασφαλίζετε ότι γνωρίζετε όλα τα νέα τρωτά σημεία που σχετίζονται με τα συστήματα. Η εγγραφή σε ένα Ενημερωτικό Δελτίο για την κυβερνοασφάλεια μπορεί να σας βοηθήσει να παραμένετε ενημερωμένοι για αυτές τις αναδυόμενες απειλές ασφαλείας. Δείτε τα Ενημερωτικά Δελτία του CyberHoot και εγγραφείτε για δωρεάν μηνιαίες ενημερώσεις. Η επίγνωση των απειλών ασφαλείας που αντιμετωπίζετε είναι το πρώτο βήμα για την ασφάλεια των συστημάτων σας.

Η CyberHoot είναι μια εξαιρετική εταιρεία για συνεργασία, καθώς διαθέτουμε εκατοντάδες εκπαιδευτικά προγράμματα, συμπεριλαμβανομένων βασικών θεμάτων κυβερνοασφάλειας. Η CyberHoot μπορεί να εκπαιδεύσει χρήστες σε οτιδήποτε, από τα βασικά θέματα κυβερνοασφάλειας έως τους κινδύνους εφαρμογών OWASP και την προηγμένη εκπαίδευση στο Microsoft Excel. Επικοινωνήστε μαζί μας sales@cyberhoot.comή κανονίστε μια συνάντηση στο https://Calendly.com/CyberHoot.

Για να μάθετε περισσότερα σχετικά με την ασφάλεια API, παρακολουθήστε αυτό το σύντομο βίντεο 2 λεπτών:

Πηγές: 

ThreatPost

HelpNetSecurity

Πρόσθετες Πληροφορίες: 

Οι δέκα κορυφαίοι κίνδυνοι ασφαλείας του OWASP

Η Apple ενθαρρύνει τους προγραμματιστές να χρησιμοποιούν το νέο App Attest API του iOS 14 για προστασία από απειλές ασφαλείας