Bezpečnostné riziká a odporúčania pre API

Odborníci varujú bezpečnostných profesionálov pred ďalšou veľkou hrozbou, ktorá postihuje kybernetický svet: útokmi prostredníctvom aplikačného programovacieho rozhrania (API) . Rozhrania API slúžia na zlepšenie výkonu systémov integráciou služieb iných webových stránok do vašej vlastnej. Medzi populárne rozhrania API patria Mapy Google, YouTube a Twitter, čo umožňuje tvorcom webových stránok vkladať Mapy, klipy z YouTube alebo tweety na svoje vlastné webové stránky. S rastom týchto nástrojov hackeri našli spôsoby, ako ich zneužiť na páchanie podvodov a krádež údajov.

Desať najväčších rizík OWASP API

Keďže hackeri obracajú svoju pozornosť na hackovanie API, predstavujú riziko pre firmy, ktoré ich používajú na svojich webových stránkach. Naši spoľahliví priatelia v OWASP kodifikovali najväčšie bezpečnostné riziká spojené s API:

1. Autorizácia na úrovni poškodeného objektu. Jediným účelom API je poskytovať vzdialený prístup k údajom. V niektorých API musia byť nastavené povolenia, aby sa zabránilo jednému používateľovi v prístupe k údajom iného používateľa. Toto sa robí prostredníctvom autorizácie na úrovni objektu. Uistite sa, že vaše API obmedzujú prístup na príslušných používateľov, aby sa toto riziko znížilo. Napríklad jednoduché API pre elektronický obchod môže uvádzať tržby z predaja vo vašom obchode. Správne vykonaná autorizácia na úrovni objektu zabraňuje iným majiteľom obchodov v dotazovaní sa na tržby z vášho obchodu. 
2. Porušené overenie používateľa. Autentifikačné mechanizmy sú často implementované nesprávne, čo útočníkom umožňuje ohroziť autentifikačné tokeny alebo zneužiť implementačné chyby na dočasné alebo trvalé prevzatie identity iných používateľov. Ohrozenie schopnosti systému identifikovať klienta/používateľa ohrozuje celkovú bezpečnosť API.
3. Nadmerné vystavenie údajom. Vývojári často neúmyselne zverejňujú súbory údajov API. Na zníženie rizika zverejnenia dôverných údajov použite princíp najnižších privilégií. V našom príklade elektronického obchodu povoľte obchodu A prístup iba k údajom obchodu A a obchodu B prístup iba k údajom obchodu B. 
4. Absencia obmedzení dotazov a obmedzenia rýchlosti. API neukladajú žiadne obmedzenia týkajúce sa veľkosti alebo počtu zdrojov, ktoré môže klient/používateľ vyžiadať. To môže nielen ovplyvniť výkon servera API, ale aj viesť k... Denial of Service (DoS), ale tiež umožňuje autentifikačné útoky, ako napríklad útok hrubou silou na základe poverení. 
5. Autorizácia na úrovni porušenej funkcie. Komplexné politiky riadenia prístupu s rôznymi skupinami a rolami a neschopnosť správne oddeliť administratívne a bežné funkcie. Tieto chyby v rozhraní API predstavujú nedostatky v autorizácii. Zneužívaním týchto problémov útočníci získavajú prístup k zdrojom a/alebo administratívnym funkciám iných používateľov.
6. Hromadné priradenie. Rozhrania API sú navrhnuté tak, aby sprístupňovali základné funkcie prístupu k údajom používateľom. Rozhrania API musia obmedziť všetky požiadavky na údaje na konkrétnu sadu volaní funkcií. To znižuje riziko nevhodnej úpravy objektu alebo prístupu k nemu jednoduchým uhádnutím vlastností objektu, preskúmaním iných koncových bodov rozhrania API, prečítaním dokumentácie alebo poskytnutím ďalších vlastností objektu v údajových častiach požiadaviek.
7. Nesprávna konfigurácia zabezpečenia. Nesprávna konfigurácia zabezpečenia je zvyčajne výsledkom nezabezpečeného predvoleného nastavenia, neúplných alebo ad-hoc konfigurácií, otvoreného cloudového úložiska, nesprávne nakonfigurovaných hlavičiek HTTP, nepotrebných metód HTTP, permisívneho zdieľania zdrojov medzi pôvodmi (CORS) a podrobných chybových hlásení obsahujúcich citlivé informácie. Napríklad zlyhanie prihlásenia na web nesmie odhaliť, či sa používateľské meno nachádza na webovej stránke.
8. Injekcia. Chyby typu injection, ako napríklad SQL, NoSQL, injection príkazov atď., sa vyskytujú, keď sa interpreterovi ako súčasť príkazu alebo dotazu odošlú nedôveryhodné údaje. Škodlivé údaje útočníka môžu interpreter oklamať a prinútiť ho vykonať nezamýšľané príkazy alebo pristupovať k údajom bez riadneho oprávnenia.
9. Nesprávna správa majetku. Rozhrania API zvyčajne sprístupňujú viac koncových bodov ako tradičné webové aplikácie, a preto je správna a aktualizovaná dokumentácia veľmi dôležitá. Dôkladná dokumentácia všetkých nasadení a verzií rozhrania API vedie k platným inventárom. Keď sa vo vašom rozhraní API nájdu a opravia chyby alebo zraniteľnosti, váš inventár pomáha zabezpečiť, aby bolo všetko aktuálne. 
10. Nedostatočné protokolovanie a monitorovanie. Nedostatočné protokolovanie a monitorovanie v spojení s chýbajúcou alebo neefektívnou integráciou s reakciou na incidenty vedie k mnohým problémom. To umožňuje útočníkom zneužívať systémy, nastavovať a udržiavať perzistenciu, prechádzať na útoky s cieľom zaútočiť na viac systémov a extrahovať alebo ničiť dáta. Väčšina štúdií o narušeniach ukazuje, že čas na odhalenie narušenia je viac ako 200 dní, pričom ho zvyčajne zisťujú externé strany, a nie interné procesy alebo monitorovanie.

Bezpečnostné požiadavky

S nárastom používania API prichádza aj nárast hackerských útokov zameraných na tieto API. Odborníci odporúčajú, aby dizajnéri a vývojári pri práci s aplikáciami, ktoré zahŕňajú API, dodržiavali nasledujúce bezpečnostné požiadavky: 

Viditeľnosť

Pri viditeľnosti API je vhodné pripustiť, že vedomosti sú mocou. Vývojári aplikácií a používatelia potrebujú vedieť, ktoré API sa publikujú, ako a kedy sa aktualizujú, kto k nim pristupuje a ako sa k nim pristupuje. Pochopenie rozsahu používania API je prvým krokom k ich zabezpečeniu.

Riadenie prístupu

Prístup k API je často voľne kontrolovaný, čo vedie k nežiaducemu odhaleniu. Zabezpečenie, aby správna skupina používateľov mala príslušné prístupové oprávnenia pre každé API, je kritickou bezpečnostnou požiadavkou, ktorá musí byť koordinovaná so systémami správy identít a prístupu (IAM).

Zmierňovanie vplyvu botov

V niektorých prostrediach až 90 % prevádzky príslušnej aplikácie (prihlásenie/registrácia účtu, pokladňa v nákupnom košíku) generujú automatizované boty. Pochopenie a správa profilov prevádzky vrátane rozlišovania dobrých botov od zlých je nevyhnutná na zabránenie automatizovaným útokom bez blokovania legitímnej prevádzky. Medzi účinné doplnkové opatrenia patrí implementácia bielych a čiernych zoznamov, politík obmedzovania rýchlosti, CAPTCHA, ako aj geofencing špecifický pre prípady použitia a zodpovedajúce koncové body API.

Prevencia zneužitia zraniteľností

Rozhrania API zjednodušujú procesy útokov elimináciou webového formulára alebo mobilnej aplikácie, čo umožňuje útočníkovi ľahšie zneužiť cielenú zraniteľnosť. Ochrana koncových bodov rozhrania API pred zneužitím obchodnej logiky a inými zneužitiami zraniteľností je kľúčovou požiadavkou na zmiernenie rizík zabezpečenia rozhrania API.

Prevencia straty údajov

Zabránenie strate údajov cez exponované API pre príslušne privilegovaných používateľov alebo inak, či už v dôsledku programovacích chýb alebo medzier v bezpečnostných kontrolách, je tiež kritickou bezpečnostnou požiadavkou. Mnohé útoky na API sú navrhnuté špeciálne na získanie prístupu ku kritickým údajom sprístupneným zo serverov a systémov back-endu.

Sťahovanie vpred

Je dôležité držať krok s nástrojmi a softvérom, ktoré často používate, a uistiť sa, že ste si vedomí všetkých nových zraniteľností súvisiacich so systémami. Prihlásenie sa na odber noviniek o kybernetickej bezpečnosti vám môže pomôcť udržať si prehľad o týchto vznikajúcich bezpečnostných hrozbách. Pozrite si noviny CyberHoot a prihláste sa na odber bezplatných mesačných aktualizácií. Uvedomenie si bezpečnostných hrozieb, ktorým čelíte, je prvým krokom k zabezpečeniu vašich systémov.

CyberHoot je skvelá spoločnosť, s ktorou sa dá spolupracovať, pretože máme stovky školiacich programov vrátane základov kybernetickej bezpečnosti. CyberHoot dokáže zaškoliť používateľov v čomkoľvek od základov kybernetickej bezpečnosti cez riziká aplikácií OWASP až po pokročilé školenia v Microsoft Excel. Kontaktujte nás. sales@cyberhoot.comalebo si dohodnite stretnutie o https://Calendly.com/CyberHoot.

Ak sa chcete dozvedieť viac o zabezpečení API, pozrite si toto krátke 2-minútové video:

Zdroje: 

ThreatPost

HelpNetSecurity

Ďalšie čítanie: 

Desať najväčších bezpečnostných rizík OWASP

Apple povzbudzuje vývojárov, aby používali nové rozhranie App Attest API v systéme iOS 14 na ochranu pred bezpečnostnými hrozbami