Αντίκτυπος
Τα παραβιασμένα API επιτρέπουν στους εισβολείς να παρακάμπτουν τις διεπαφές χρήστη και να αλληλεπιδρούν απευθείας με βάσεις δεδομένων υποστήριξης και υπηρεσίες [S1]. Αυτό μπορεί να οδηγήσει σε μη εξουσιοδοτημένη εξαγωγή δεδομένων, εξαγορές λογαριασμών μέσω ωμής βίας ή μη διαθεσιμότητα της υπηρεσίας λόγω εξάντλησης πόρων [S3][S5].
Ριζική αιτία
Η κύρια βασική αιτία είναι η έκθεση της εσωτερικής λογικής μέσω τελικών σημείων που δεν διαθέτουν επαρκή επικύρωση και προστασία [S1]. Οι προγραμματιστές συχνά υποθέτουν ότι εάν μια δυνατότητα δεν είναι ορατή στη διεπαφή χρήστη, είναι ασφαλής, οδηγώντας σε κατεστραμμένα στοιχεία ελέγχου πρόσβασης [S2] και επιτρεπτές πολιτικές CORS που εμπιστεύονται πάρα πολλές προελεύσεις [S4].
Λίστα ελέγχου ασφαλείας Essential API
- Εφαρμογή αυστηρού ελέγχου πρόσβασης: Κάθε τελικό σημείο πρέπει να επαληθεύει ότι ο αιτών έχει τα κατάλληλα δικαιώματα για τον συγκεκριμένο πόρο στον οποίο έχει πρόσβαση [S2].
- Περιορισμός ρυθμού υλοποίησης: Προστατέψτε από αυτοματοποιημένη κατάχρηση και επιθέσεις DoS περιορίζοντας τον αριθμό των αιτημάτων που μπορεί να υποβάλει ένας πελάτης εντός ενός συγκεκριμένου χρονικού πλαισίου [S3].
- Διαμόρφωση του CORS σωστά: Αποφύγετε τη χρήση προέλευσης χαρακτήρων μπαλαντέρ (
*) για επαληθευμένα τελικά σημεία. Ορίστε ρητά τις επιτρεπόμενες προελεύσεις για να αποτρέψετε τη διαρροή δεδομένων μεταξύ τοποθεσιών [S4]. - Ορατότητα τέλους σημείου ελέγχου: Σαρώνετε τακτικά για "κρυφά" ή μη τεκμηριωμένα τελικά σημεία που ενδέχεται να εκθέσουν ευαίσθητη λειτουργικότητα [S1].
Πώς το FixVibe το δοκιμάζει
Το FixVibe καλύπτει τώρα αυτήν τη λίστα ελέγχου μέσω πολλαπλών ζωντανών επιταγών. Οι ανιχνευτές με ενεργή πύλη δοκιμάζουν τον περιορισμό του ρυθμού τερματικού σημείου ταυτότητας, τα CORS, CSRF, έγχυση SQL, αδυναμίες ροής ταυτότητας και άλλα ζητήματα που αντιμετωπίζουν API μόνο μετά από επαλήθευση. Οι παθητικοί έλεγχοι επιθεωρούν τις κεφαλίδες ασφαλείας, τη δημόσια τεκμηρίωση API και την έκθεση στο OpenAPI και τα μυστικά σε πακέτα πελατών. Οι σαρώσεις repo προσθέτουν έλεγχο κινδύνου σε επίπεδο κώδικα για μη ασφαλή CORS, ακατέργαστη παρεμβολή SQL, αδύναμα μυστικά JWT, χρήση JWT μόνο για αποκωδικοποίηση, προβλήματα υπογραφής webhook και αποκωδικοποίηση.