Ietekme
Kompromitētas API ļauj uzbrucējiem apiet lietotāja saskarnes un tieši mijiedarboties ar aizmugursistēmas datu bāzēm un pakalpojumiem [S1]. Tas var izraisīt nesankcionētu datu izfiltrēšanu, kontu pārņemšanu, izmantojot brutālu spēku, vai pakalpojuma nepieejamību resursu izsmelšanas dēļ. [S3][S5].
Galvenais cēlonis
Galvenais iemesls ir iekšējās loģikas iedarbība, izmantojot galapunktus, kuriem nav pietiekamas validācijas un aizsardzības [S1]. Izstrādātāji bieži pieņem, ka, ja līdzeklis lietotāja saskarnē nav redzams, tas ir drošs, kā rezultātā tiek bojātas piekļuves kontroles [S2] un atļaujošas CORS politikas, kas uzticas pārāk daudzām izcelsmēm [S4].
Būtisks API drošības kontrolsaraksts
- Ieviest stingru piekļuves kontroli: katram galapunktam ir jāpārbauda, vai pieprasītājam ir atbilstošas atļaujas konkrētajam resursam, kuram tiek piekļūts. [S2].
- Ieviešanas ātruma ierobežojums: aizsargājiet pret automātisku ļaunprātīgu izmantošanu un DoS uzbrukumiem, ierobežojot pieprasījumu skaitu, ko klients var veikt noteiktā laika posmā. [S3].
- Pareizi konfigurējiet CORS: autentificētiem galapunktiem neizmantojiet aizstājējzīmju izcelsmi (
*). Precīzi definējiet atļauto izcelsmi, lai novērstu starpvietņu datu noplūdi [S4]. - Audita galapunkta redzamība: regulāri meklējiet "slēptus" vai nedokumentētus galapunktus, kas varētu atklāt sensitīvu funkcionalitāti [S1].
Kā FixVibe to pārbauda
FixVibe tagad aptver šo kontrolsarakstu, veicot vairākas reāllaika pārbaudes. Auth-gated zondes pārbauda autentifikācijas beigu punkta ātruma ierobežojumu, CORS, CSRF, SQL injekciju, autentifikācijas plūsmas nepilnības un citas ar API saistītas problēmas tikai pēc verifikācijas. Pasīvās pārbaudes pārbauda drošības galvenes, publisko API dokumentāciju un OpenAPI ekspozīciju, kā arī klientu komplektu noslēpumus. Repo skenēšana pievieno koda līmeņa riska pārskatu par nedrošu CORS, neapstrādātu SQL interpolāciju, vājiem JWT noslēpumiem, JWT lietojumu tikai dekodēšanai, tīmekļa aizķeres parakstu nepilnībām un atkarības problēmām.