Effaith
Mae APIs dan fygythiad yn caniatáu i ymosodwyr osgoi rhyngwynebau defnyddwyr a rhyngweithio'n uniongyrchol â chronfeydd data a gwasanaethau ôl-wyneb [S1]. Gall hyn arwain at all-hidlo data heb awdurdod, trosfeddiannu cyfrifon trwy 'n ysgrublaidd, neu wasanaeth ddim ar gael oherwydd lludded adnoddau [S3][S5].
Achos Gwraidd
Y prif achos sylfaenol yw datguddiad rhesymeg fewnol trwy bwyntiau terfyn sydd heb ddigon o ddilysiad ac amddiffyniad [S1]. Mae datblygwyr yn aml yn tybio, os nad yw nodwedd yn weladwy yn yr UI, ei bod yn ddiogel, gan arwain at reolaethau mynediad wedi torri [S2] a pholisïau caniataol CORS sy'n ymddiried yn ormod o wreiddiau [S4].
Rhestr Wirio Diogelwch Hanfodol API
- Gorfodi Rheolaeth Mynediad Caeth: Rhaid i bob pwynt terfyn wirio bod gan yr ymgeisydd y caniatâd priodol ar gyfer cyrchu'r adnodd penodol [S2].
- Cyfyngu Cyfradd Gweithredu: Amddiffyn rhag cam-drin awtomataidd ac ymosodiadau DoS trwy gyfyngu ar nifer y ceisiadau y gall cleient eu gwneud o fewn amserlen benodol [S3].
- Ffurfweddu CORS Yn Gywir: Osgoi defnyddio tarddiad cerdyn gwyllt (
*) ar gyfer pwyntiau terfyn dilys. Diffinio'n benodol y gwreiddiau a ganiateir i atal gollyngiadau data traws-safle [S4]. - Gwelededd Mannau Terfyn Archwilio: Sganiwch yn rheolaidd am bwyntiau terfyn "cudd" neu heb eu dogfennu a allai ddatgelu swyddogaethau sensitif [S1].
Sut mae FixVibe yn ei brofi
Mae FixVibe bellach yn cwmpasu'r rhestr wirio hon trwy wiriadau byw lluosog. Mae stilwyr â gatiau gweithredol yn profi cyfyngu ar gyfradd pwynt terfyn yr awdurdod, CORS, CSRF, chwistrelliad SQL, gwendidau llif yr awdurdod, a materion eraill sy'n wynebu API yn unig ar ôl dilysu. Mae gwiriadau goddefol yn archwilio penawdau diogelwch, dogfennaeth gyhoeddus API ac amlygiad OpenAPI, a chyfrinachau mewn bwndeli cleientiaid. Mae sganiau Repo yn ychwanegu adolygiad risg lefel cod ar gyfer CORS anniogel, rhyngosodiad SQL amrwd, cyfrinachau gwan JWT, defnydd datgodio yn unig JWT, bylchau llofnod gwebhook, a materion dibyniaeth.