Impatto
Le API compromesse consentono agli aggressori di aggirare le interfacce utente e interagire direttamente con i database e i servizi backend [S1]. Ciò può portare all'esfiltrazione di dati non autorizzata, al furto di account tramite forza bruta o all'indisponibilità del servizio a causa dell'esaurimento delle risorse [S3][S5].
Causa principale
La causa principale è l'esposizione della logica interna attraverso endpoint privi di validazione e protezione sufficienti [S1]. Gli sviluppatori spesso presumono che se una funzionalità non è visibile nell'interfaccia utente, è sicura, il che porta a controlli di accesso non funzionanti [S2] e policy permissive CORS che si fidano di troppe origini [S4].
Lista di controllo di sicurezza essenziale API
- Applica un controllo di accesso rigoroso: ogni endpoint deve verificare che il richiedente disponga delle autorizzazioni appropriate per la risorsa specifica a cui si accede [S2].
- Implementa la limitazione della velocità: proteggi dagli abusi automatizzati e dagli attacchi DoS limitando il numero di richieste che un cliente può effettuare entro un intervallo di tempo specifico [S3].
- Configura CORS correttamente: evitare di utilizzare origini con caratteri jolly (
*) per gli endpoint autenticati. Definire in modo esplicito le origini consentite per impedire la perdita di dati tra siti [S4]. - Controlla la visibilità degli endpoint: esegui regolarmente la scansione degli endpoint "nascosti" o non documentati che potrebbero esporre funzionalità sensibili [S1].
Come lo esegue il test FixVibe
FixVibe ora copre questa lista di controllo attraverso più controlli in tempo reale. Le sonde attive testano la limitazione della velocità dell'endpoint di autenticazione, CORS, CSRF, SQL injection, punti deboli del flusso di autenticazione e altri problemi che riguardano API solo dopo la verifica. I controlli passivi esaminano le intestazioni di sicurezza, la documentazione pubblica API, l'esposizione OpenAPI e i segreti nei bundle client. Le scansioni del repository aggiungono una revisione dei rischi a livello di codice per CORS non sicuro, interpolazione SQL non elaborata, segreti JWT deboli, utilizzo di JWT di sola decodifica, lacune nella firma del webhook e problemi di dipendenza.