გავლენა
კომპრომეტირებული API-ები თავდამსხმელებს საშუალებას აძლევს გვერდი აუარონ მომხმარებლის ინტერფეისებს და უშუალოდ დაუკავშირდნენ backend მონაცემთა ბაზებსა და სერვისებს [S1]. ამან შეიძლება გამოიწვიოს მონაცემთა არაავტორიზებული ექსფილტრაცია, ანგარიშის აღება უხეში ძალის გამოყენებით ან სერვისის მიუწვდომლობა რესურსების ამოწურვის გამო [S3][S5].
ძირეული მიზეზი
ძირითადი ძირეული მიზეზი არის შიდა ლოგიკის გამოვლენა საბოლოო წერტილების მეშვეობით, რომლებსაც არ გააჩნიათ საკმარისი ვალიდაცია და დაცვა [S1]. დეველოპერები ხშირად თვლიან, რომ თუ ფუნქცია არ ჩანს ინტერფეისში, ის უსაფრთხოა, რაც იწვევს წვდომის კონტროლის დარღვევას [S2] და ნებადართული CORS პოლიტიკას, რომელიც ენდობა ძალიან ბევრ წყაროს [S4].
ძირითადი API უსაფრთხოების შემოწმების სია
- შეასრულეთ წვდომის მკაცრი კონტროლი: ყოველი ბოლო წერტილი უნდა ამოწმებდეს, რომ მომთხოვნს აქვს შესაბამისი ნებართვები კონკრეტული რესურსისთვის, რომელზეც წვდომა არის [S2].
- განხორციელების სიჩქარის შეზღუდვა: დაიცავით ავტომატური ბოროტად გამოყენებისა და DoS თავდასხმებისგან კლიენტის მიერ მოთხოვნის რაოდენობის შეზღუდვით, რომელსაც შეუძლია განახორციელოს კონკრეტულ ვადაში [S3].
- CORS-ის სწორად კონფიგურაცია: მოერიდეთ მატერიალური ნიშნების (
*) გამოყენებას ავტორიზებული ბოლო წერტილებისთვის. ცალსახად განსაზღვრეთ ნებადართული საწყისიები, რათა თავიდან აიცილოთ მონაცემთა ჯვარედინი გაჟონვა [S4]. - აუდიტის ბოლო წერტილის ხილვადობა: რეგულარულად დაასკანირეთ "დამალული" ან დაუსაბუთებელი საბოლოო წერტილები, რომლებმაც შეიძლება გამოავლინოს მგრძნობიარე ფუნქცია [S1].
როგორ ამოწმებს მას FixVibe
FixVibe ახლა მოიცავს ამ საკონტროლო სიას მრავალი პირდაპირი შემოწმების საშუალებით. აქტიური დახურული ზონდები ამოწმებენ ავტორიზაციის საბოლოო წერტილის სიჩქარის შეზღუდვას, CORS, CSRF, SQL ინექციას, auth-flow სისუსტეებს და API-სთან დაკავშირებულ სხვა პრობლემებს მხოლოდ შემოწმების შემდეგ. პასიური შემოწმებები ამოწმებს უსაფრთხოების სათაურებს, საჯარო API დოკუმენტაციას და OpenAPI-ის ექსპოზიციას და საიდუმლოებებს კლიენტის პაკეტებში. რეპოს სკანირება ამატებს კოდის დონის რისკის მიმოხილვას სახიფათო CORS, დაუმუშავებელი SQL ინტერპოლაციის, სუსტი JWT საიდუმლოებების, მხოლოდ დეკოდირების JWT გამოყენების, ვებჰუკის ხელმოწერის ხარვეზების შესახებ და.