Guida à a Sicurezza API in 2023
I MUVRINI
Chì ghjè l'Ecunumia API?
Web API Security
- REST (Trasferimentu di u Statu Rappresentativu).
Sicurezza di l'API REST
API SOAP, Sicurezza
L'API SOAP furnisce un mecanismu di sicurezza integratu chjamatu Web Services Security (WS Security). Verificanu l'autentificazione è l'autorizazione. Usanu criptografia XML, signature XML è tokens SAML.
SOAP hè l'approcciu ghjusta per standardizà è criptà i servizii Web. SOAP hè una alternativa megliu cà REST.
SOAP limita à XML ma REST pò gestisce qualsiasi formatu di dati. JSON hè più faciule da capisce chì XML. L'usu di REST per u trasportu di dati risparmia soldi nantu à i costi di l'infrastruttura informatica.
Gestione API
A gestione API aiuta l'imprese à fà e so risorse digitale.
Eccu alcuni manere di gestisce a sicurità API:
1. Autentificazione
L'autenticazione di basa HTTP hè un metudu per un cliente per autentificà cù l'API Gateway.
2. Autentificazione OAuth2.0
- U flussu di password di u nome d'utilizatore: induve u prugramma hà accessu direttu à e credenziali d'utilizatore.
- Flussu di u servitore Web: induve u servitore pò prutege u sicretu di u cunsumadore.
- U flussu di l'agente d'utilizatore: utilizatu da l'applicazioni chì ùn ponu micca guardà u sicretu di u cunsumadore.
3. JSON Web Token Authentication
Un Token JWT hè un Oggettu JSON è base64 codificatu è firmatu cù una chjave sparta. U JWT assicura chì solu un utilizatore definitu pò generà un token unicu. I JWT ùn sò micca criptati. Qualchissia chì hà accessu à u token uttene i dati.
Beneficii di u JWT
- U token cuntene tutte l'infurmazioni necessarii per autentificà l'utilizatore.
- Hè facilitu per evità di confià in i servitori è e basa di dati d'autentificazione centralizzati.
- A verificazione implica esaminà a firma è parechji altri fattori.
- JWT hè un token di vita media cù una data di scadenza specificata trà uni pochi di settimane à più longu
- A scalabilità nantu à u hardware di u servitore web cuntempuraneu hè faciule ...
4. Signature HTTP
In JWT, l'intestazione di l'autorizazione hè codificata è firmata in base64. Se qualchissia riceve u token JWT è a dumanda, ponu aghjurnà u corpu di Richiesta HTTP. Signature HTTP permettenu à u cliente di firmà u Missaghju HTTP. Allora, quelli altri ponu tuccà a dumanda nantu à a reta.
Amazon, Facebook è Google utilizanu Firma HTTP. In 2016, Signing HTTP Messages hè ghjuntu in pratica. Hè una nova specificazione di travagliu in corso. Sicondu sta specificazione, u benefiziu di firmà u missaghju HTTP, per u scopu di l'integrità di u messagiu end-to-end. Un clientu pò autentificà cù u stessu mecanismu senza a necessità di parechji loops.
Capisce e Vulnerabilità di Sicurezza API
OWASP hè sempre stata l'autorità di punta nantu à i prublemi di sicurezza più cumuni è insidiosi truvati in u software chì usemu ogni ghjornu, è tuttu hè sustinutu da dati ricchi.
S'ellu ci hè una linea di basa per quale l'urganisazioni duveranu sforzà, hè cunquistà questu OWASP API Security Top 10 elencati quì sottu.
OWASP API SECURITY TOP 1O
API1: Autorizazione di Livellu d'Oggettu Rottu
API2: Autentificazione rotta
API3: Esposizione eccessiva di dati
API4: Mancanza di Risorse è Limitazione di Tariffa
API5: Livellu di funzione rottu Auth
API 6: Assegnazione di massa
API7: Misconfigurazione di Sicurezza
API8: Injection
API9: Gestione di l'Assi Impropriu
API10: Logging & Monitoring insufficiente
MEGLIE PRATICHE API SECURITY
Eccu alcuni di i modi più cumuni per migliurà a Sicurezza API:
- Stabbilisce e vostre vulnerabilità.
Ci hè bisognu di mantene u sistema operatore, a rete è i cumpunenti API aghjurnati. Cercate i difetti chì ponu permette à l'attaccanti di accede à e vostre API. Sniffers rilevanu prublemi di sicurezza è traccianu fughe di dati.
- Pone a quota è throttling.
Pone una quota nantu à quantu spessu chjamanu e vostre API è verificate l'usu in a storia. L'abusu di una API hè generalmente mostratu da un piccu in e chjama.
- Aduprate un gateway API per cunnette à a vostra API.
I gateway API sò u puntu primariu di infurzazioni per u trafficu API. Vi permetterà di cuntrullà è analizà cumu si autentificanu e vostre API.
- Aduprate tokens.
Crea identità di fiducia. Aduprate tokens cù queste identità per cuntrullà l'accessu à i servizii è risorse.
- Utilizà a criptografia è a firma digitale.
Cripte i vostri dati cù TLS. Aduprate signature digitale per verificà chì solu l'individui autorizati anu accessu è edità dati.
- Focus nantu à a sicurità.
L'API ùn deve mai esse cunsideratu incidentale. L'urganisazioni anu da perde assai per fallu di assicurà l'API. In u risultatu, fate a sicurità una priorità è includela in i vostri API.
- Validate l'input.
Ùn mai trasmette dati à un endpoint via una API senza verificate prima.
- Fate usu di a limitazione di tariffu.
A limitazione di e dumande pò aiutà à prevene attacchi di denial-of-service.
- Aduprate un sistema robustu di autentificazione è d'autorizazione.
Quandu l'API ùn impone micca l'autenticazione, l'autentificazione rottu succede.
Utilizà e tecnulugia di login è d'autorizazione chì sò ben stabiliti, cum'è OAuth2.0 è OpenID Connect.
