API सुरक्षा जोखिम और अनुशंसाएँ

विशेषज्ञ साइबर जगत पर मंडरा रहे अगले बड़े खतरे, यानी एप्लीकेशन प्रोग्रामिंग इंटरफेस (एपीआई) हमलों के बारे में सुरक्षा पेशेवरों को चेतावनी दे रहे हैं। एपीआई अन्य वेबसाइटों की सेवाओं को आपकी वेबसाइट में एकीकृत करके सिस्टम के प्रदर्शन को बेहतर बनाने का काम करते हैं। लोकप्रिय एपीआई में गूगल मैप्स, यूट्यूब और ट्विटर शामिल हैं; ये वेबसाइट निर्माताओं को मैप्स, यूट्यूब क्लिप या ट्वीट्स को अपने वेबपेज पर एम्बेड करने की अनुमति देते हैं। इन टूल्स के बढ़ते उपयोग के साथ-साथ हैकर्स ने धोखाधड़ी करने और डेटा चोरी करने के लिए इनका दुरुपयोग करने के तरीके खोज लिए हैं।

शीर्ष दस OWASP API जोखिम

जैसे-जैसे हैकर्स एपीआई हैकिंग की ओर अपना ध्यान केंद्रित कर रहे हैं, वे अपनी वेबसाइटों में इनका उपयोग करने वाले व्यवसायों के लिए एक जोखिम पैदा कर रहे हैं। OWASP में हमारे विश्वसनीय मित्रों ने एपीआई से जुड़े प्रमुख सुरक्षा जोखिमों को संहिताबद्ध किया है:

1. ऑब्जेक्ट स्तर प्राधिकरण टूटा हुआ. API का एकमात्र उद्देश्य डेटा तक दूरस्थ पहुँच प्रदान करना है। कुछ API में, एक उपयोगकर्ता को दूसरे उपयोगकर्ता के डेटा तक पहुँचने से रोकने के लिए अनुमतियाँ निर्धारित की जानी चाहिए। यह ऑब्जेक्ट-स्तरीय प्राधिकरण के माध्यम से किया जाता है। इस जोखिम को कम करने के लिए सुनिश्चित करें कि आपके API उपयुक्त उपयोगकर्ताओं तक पहुँच को प्रतिबंधित करते हैं। उदाहरण के लिए, एक साधारण ई-कॉमर्स API आपके स्टोर की बिक्री सूचीबद्ध कर सकता है। सही ढंग से किया गया ऑब्जेक्ट-स्तरीय प्राधिकरण अन्य स्टोर मालिकों को आपके स्टोर की बिक्री के बारे में पूछताछ करने से रोकता है। 
2. टूटा हुआ उपयोगकर्ता प्रमाणीकरण. प्रमाणीकरण तंत्र को अक्सर गलत तरीके से लागू किया जाता है, जिससे हमलावरों को प्रमाणीकरण टोकन से समझौता करने या अन्य उपयोगकर्ता की पहचान को अस्थायी या स्थायी रूप से ग्रहण करने के लिए कार्यान्वयन त्रुटियों का फायदा उठाने की अनुमति मिलती है। क्लाइंट/उपयोगकर्ता की पहचान करने की सिस्टम की क्षमता से समझौता करना समग्र रूप से एपीआई सुरक्षा से समझौता करता है।
3. अत्यधिक डेटा एक्सपोज़र. डेवलपर्स अक्सर अनजाने में API डेटासेट को उजागर कर देते हैं। गोपनीय डेटा के उजागर होने की संभावना को कम करने के लिए न्यूनतम विशेषाधिकार के सिद्धांत का उपयोग करें। हमारे ई-कॉमर्स उदाहरण में, स्टोर A को केवल A का डेटा संग्रहीत करने की अनुमति दें और स्टोर B को केवल B का डेटा संग्रहीत करने की अनुमति दें। 
4. क्वेरी प्रतिबंध और दर सीमित करने का अभाव। एपीआई क्लाइंट/उपयोगकर्ता द्वारा अनुरोधित संसाधनों के आकार या संख्या पर कोई प्रतिबंध नहीं लगाते हैं। इससे न केवल एपीआई सर्वर के प्रदर्शन पर असर पड़ सकता है, बल्कि सेवा का अस्वीकार (डीओएस), लेकिन यह प्रमाणीकरण हमलों को भी सक्षम बनाता है जैसे कि पशु बल का आक्रमण क्रेडेंशियल्स पर. 
5. टूटा हुआ फ़ंक्शन स्तर प्राधिकरण. विभिन्न समूहों और भूमिकाओं वाली जटिल अभिगम नियंत्रण नीतियाँ, और प्रशासनिक तथा नियमित कार्यों को सही ढंग से अलग करने में विफलता। ये API त्रुटियाँ प्राधिकरण संबंधी त्रुटियाँ हैं। इन समस्याओं का फ़ायदा उठाकर, हमलावर अन्य उपयोगकर्ताओं के संसाधनों और/या प्रशासनिक कार्यों तक पहुँच प्राप्त कर लेते हैं।
6. सामूहिक असाइनमेंट. डिज़ाइन के अनुसार, API उपयोगकर्ताओं के लिए अंतर्निहित डेटा एक्सेस फ़ंक्शन प्रदर्शित करते हैं। API को सभी डेटा अनुरोधों को फ़ंक्शन कॉल के एक विशिष्ट सेट तक सीमित रखना चाहिए। इससे ऑब्जेक्ट गुणों का अनुमान लगाकर, अन्य API एंडपॉइंट्स की खोज करके, दस्तावेज़ों को पढ़कर, या अनुरोध पेलोड में अतिरिक्त ऑब्जेक्ट गुण प्रदान करके अनुचित ऑब्जेक्ट संशोधन या एक्सेस के जोखिम को कम किया जा सकता है।
7. सुरक्षा गलत कॉन्फ़िगरेशन. सुरक्षा संबंधी ग़लत कॉन्फ़िगरेशन आमतौर पर असुरक्षित डिफ़ॉल्ट, अधूरे या एड-हॉक कॉन्फ़िगरेशन, ओपन क्लाउड स्टोरेज, ग़लत कॉन्फ़िगर किए गए HTTP हेडर, अनावश्यक HTTP मेथड्स, अनुमति प्राप्त क्रॉस-ओरिजिन रिसोर्स शेयरिंग (CORS), और संवेदनशील जानकारी वाले विस्तृत त्रुटि संदेशों का परिणाम होता है। उदाहरण के लिए, वेब लॉगिन विफलता से यह पता नहीं चलना चाहिए कि वेबसाइट में उपयोगकर्ता नाम मौजूद है या नहीं।
8. इंजेक्शन. इंजेक्शन संबंधी खामियां, जैसे कि SQL, NoSQL, कमांड इंजेक्शन आदि, तब होती हैं जब किसी कमांड या क्वेरी के हिस्से के रूप में किसी दुभाषिया को अविश्वसनीय डेटा भेजा जाता है। हमलावर का दुर्भावनापूर्ण डेटा दुभाषिया को अनपेक्षित आदेशों को निष्पादित करने या उचित प्राधिकरण के बिना डेटा तक पहुंचने में धोखा दे सकता है।
9. अनुचित परिसंपत्ति प्रबंधन. एपीआई पारंपरिक वेब एप्लिकेशन की तुलना में ज़्यादा एंडपॉइंट प्रदर्शित करते हैं, जिससे उचित और अद्यतन दस्तावेज़ीकरण बेहद ज़रूरी हो जाता है। सभी एपीआई परिनियोजनों और संस्करणों का मज़बूत दस्तावेज़ीकरण मान्य इन्वेंट्रीज़ की ओर ले जाता है। जब आपके एपीआई में बग या कमज़ोरियाँ पाई जाती हैं और उन्हें ठीक किया जाता है, तो आपकी इन्वेंट्री यह सुनिश्चित करने में मदद करती है कि सब कुछ अद्यतित रखा जाए। 
10. अपर्याप्त लॉगिंग और निगरानी. अपर्याप्त लॉगिंग और निगरानी, ​​साथ ही घटना प्रतिक्रिया के साथ अनुपलब्ध या अप्रभावी एकीकरण, कई समस्याओं का कारण बनते हैं। इससे हमलावरों को सिस्टम का दुरुपयोग करने, दृढ़ता स्थापित करने और बनाए रखने, और अधिक सिस्टम पर हमला करने, और डेटा निकालने या नष्ट करने का मौका मिलता है। अधिकांश उल्लंघन अध्ययनों से पता चलता है कि उल्लंघन का पता लगाने में 200 दिनों से अधिक का समय लगता है, जिसका पता आमतौर पर आंतरिक प्रक्रियाओं या निगरानी के बजाय बाहरी पक्षों द्वारा लगाया जाता है।

सुरक्षा आवश्यकताओं

एपीआई अपनाने में वृद्धि के साथ, उन एपीआई को निशाना बनाकर हैकर हमलों में भी वृद्धि हुई है। विशेषज्ञ सलाह देते हैं कि डिज़ाइनर और डेवलपर्स एपीआई से जुड़े अनुप्रयोगों के साथ काम करते समय निम्नलिखित सुरक्षा आवश्यकताओं का पालन करें: 

दर्शनीयता

एपीआई दृश्यता के मामले में "ज्ञान ही शक्ति है" का सिद्धांत उपयुक्त है। एप्लिकेशन डेवलपर्स और उपयोगकर्ताओं को यह जानना ज़रूरी है कि कौन से एपीआई प्रकाशित किए जा रहे हैं, उन्हें कैसे और कब अपडेट किया जा रहा है, कौन उन्हें एक्सेस कर रहा है और कैसे एक्सेस किया जा रहा है। अपने एपीआई उपयोग के दायरे को समझना, उन्हें सुरक्षित करने की दिशा में पहला कदम है।

नियंत्रण प्रवेश

एपीआई एक्सेस पर अक्सर नियंत्रण ढीला होता है, जिससे अवांछित जोखिम पैदा होता है। यह सुनिश्चित करना कि उपयोगकर्ताओं के सही समूह के पास प्रत्येक एपीआई के लिए उचित एक्सेस अनुमतियाँ हों, एक महत्वपूर्ण सुरक्षा आवश्यकता है जिसे पहचान और एक्सेस प्रबंधन (आईएएम) प्रणालियों के साथ समन्वित किया जाना चाहिए।

बॉट शमन

कुछ परिवेशों में, संबंधित एप्लिकेशन ट्रैफ़िक (खाता लॉगिन/पंजीकरण, शॉपिंग कार्ट चेकआउट) का 90% तक स्वचालित बॉट्स द्वारा उत्पन्न होता है। ट्रैफ़िक प्रोफ़ाइल को समझना और प्रबंधित करना, जिसमें अच्छे बॉट्स को बुरे बॉट्स से अलग करना शामिल है, वैध ट्रैफ़िक को अवरुद्ध किए बिना स्वचालित हमलों को रोकने के लिए आवश्यक है। प्रभावी पूरक उपायों में श्वेतसूची, कालीसूची, दर-सीमा नीतियाँ, कैप्चा, और उपयोग-मामलों और संबंधित API एंडपॉइंट्स के लिए विशिष्ट जियोफ़ेंसिंग लागू करना शामिल है।

भेद्यता शोषण निवारण

एपीआई वेब फ़ॉर्म या मोबाइल ऐप को हटाकर हमले की प्रक्रिया को सरल बनाते हैं, जिससे किसी भी दुर्भावनापूर्ण व्यक्ति को लक्षित भेद्यता का अधिक आसानी से फ़ायदा उठाने की अनुमति मिलती है। व्यावसायिक तर्क के दुरुपयोग और अन्य भेद्यता शोषण से एपीआई एंडपॉइंट्स की सुरक्षा एपीआई सुरक्षा शमन की एक प्रमुख आवश्यकता है।

डेटा खोने की रोकथाम

प्रोग्रामिंग त्रुटियों या सुरक्षा नियंत्रण अंतराल के कारण, उचित रूप से विशेषाधिकार प्राप्त उपयोगकर्ताओं के लिए उजागर एपीआई पर डेटा हानि को रोकना भी एक महत्वपूर्ण सुरक्षा आवश्यकता है। कई एपीआई हमलों को विशेष रूप से बैक-एंड सर्वर और सिस्टम से उपलब्ध कराए गए महत्वपूर्ण डेटा तक पहुंच प्राप्त करने के लिए डिज़ाइन किया गया है।

आगे चल रहा है

अपने सिस्टम में अक्सर इस्तेमाल होने वाले टूल्स और सॉफ्टवेयर के बारे में अपडेट रहना और सिस्टम से जुड़ी सभी नई सुरक्षा कमजोरियों से अवगत रहना महत्वपूर्ण है। साइबर सुरक्षा न्यूज़लेटर की सदस्यता लेने से आपको उभरते सुरक्षा खतरों से अवगत रहने में मदद मिल सकती है। CyberHoot के न्यूज़लेटर देखें और मुफ़्त मासिक अपडेट के लिए साइन अप करें। अपने सिस्टम को सुरक्षित करने का पहला कदम है सुरक्षा खतरों से अवगत होना।

साइबरहूट साझेदारी के लिए एक बेहतरीन कंपनी है क्योंकि हमारे पास साइबर सुरक्षा की बुनियादी बातों सहित सैकड़ों प्रशिक्षण कार्यक्रम हैं। साइबरहूट उपयोगकर्ताओं को साइबर सुरक्षा की बुनियादी बातों से लेकर OWASP एप्लिकेशन जोखिमों और उन्नत माइक्रोसॉफ्ट एक्सेल प्रशिक्षण तक, किसी भी विषय पर प्रशिक्षित कर सकता है। हमसे संपर्क करके हमसे जुड़ें। sales@cyberhoot.com, या एक बैठक निर्धारित करें https://Calendly.com/CyberHoot.

API सुरक्षा के बारे में अधिक जानने के लिए, यह 2 मिनट का छोटा वीडियो देखें:

सूत्रों का कहना है: 

ThreatPost

हेल्पनेट सुरक्षा

अतिरिक्त पढ़ना: 

OWASP के शीर्ष दस सुरक्षा जोखिम

Apple ने सुरक्षा खतरों से बचाव के लिए डेवलपर्स को iOS 14 के नए ऐप अटेस्ट API का उपयोग करने के लिए प्रोत्साहित किया