השפעה
ממשקי API שנפגעו מאפשרים לתוקפים לעקוף ממשקי משתמש ולקיים אינטראקציה ישירה עם מסדי נתונים ושירותים עורפיים [S1]. זה יכול להוביל להוצאת נתונים לא מורשית, השתלטות על חשבון באמצעות כוח גס, או חוסר זמינות של שירות עקב מיצוי משאבים [S3][S5].
סיבת שורש
גורם השורש העיקרי הוא חשיפת ההיגיון הפנימי באמצעות נקודות קצה חסרות אימות והגנה מספקים [S1]. לעתים קרובות מפתחים מניחים שאם תכונה אינה גלויה בממשק המשתמש, היא מאובטחת, מה שמוביל לפקדי גישה שבורים [S2] ומדיניות CORS מתירנית שסומכת על יותר מדי מקורות [S4].
רשימת אבטחה חיונית API
- אכוף בקרת גישה קפדנית: כל נקודת קצה חייבת לוודא שלמבקש יש את ההרשאות המתאימות למשאב הספציפי שאליו ניגשים [S2].
- הגבלת קצב יישום: הגן מפני שימוש לרעה והתקפות DoS אוטומטיות על ידי הגבלת מספר הבקשות שלקוח יכול לבצע במסגרת זמן ספציפית [S3].
- הגדר את CORS בצורה נכונה: הימנע משימוש במקורות תווים כלליים (
*) עבור נקודות קצה מאומתות. הגדר במפורש מקורות מותרים כדי למנוע דליפת נתונים חוצה אתרים [S4]. - נראות של נקודת קצה ביקורת: סרוק באופן קבוע אחר נקודות קצה "חבויות" או לא מתועדות שעלולות לחשוף פונקציונליות רגישה [S1].
כיצד FixVibe בודק את זה
FixVibe מכסה כעת רשימת בדיקה זו באמצעות מספר בדיקות חיים. בדיקות אקטיביות בודקות הגבלת קצב אימות של נקודות קצה, CORS, CSRF, הזרקת SQL, חולשות זרימת אימות ובעיות אחרות העומדות בפני API רק לאחר אימות. בדיקות פסיביות בודקות כותרות אבטחה, תיעוד API ציבורי וחשיפת OpenAPI וסודות בחבילות לקוחות. סריקות ריפו מוסיפות סקירת סיכונים ברמת הקוד עבור CORS לא בטוח, אינטרפולציה גולמית של SQL, סודות JWT חלשים, שימוש ב-JWT בלבד, פערי חתימה של ה-webhook ובעיות תלות.