Αυξάνονται οι επιθέσεις στις APIs

Της Αφροδίτης Μπαλίδου

Οι διεπαφές προγραμματισμού εφαρμογών (Application Programming Interfaces – APIs) αποτελούν αναπόσπαστο κομμάτι της λειτουργικότητας του διαδικτύου σήμερα. Επιτρέποντας την επικοινωνία μεταξύ των προγραμμάτων, καθιστούν πολλές διαδικασίες πιο αποτελεσματικές και βολικές, από εσωτερικές επιχειρηματικές δραστηριότητες έως τη σύνδεση χρηστών στους λογαριασμούς τους ή την υποβολή πληρωμών στο διαδίκτυο. Επειδή, όμως, διαχειρίζονται πολλά δεδομένα από διάφορες πηγές, μπορούν να αποτελέσουν σημαντικό κίνδυνο όταν παραβιάζονται. Ένας συνηθισμένος τύπος επίθεσης στα APIs είναι ο έλεγχος ταυτότητας με σπασμένα στοιχεία (broken authentication).

Ο όρος broken authentication (in APIs) περιλαμβάνει πολλές διαφορετικές αδυναμίες στη διαδικασία ελέγχου ταυτότητας χρήστη ενός API. Αυτό ισχύει για APIs που στερούνται εξ ολοκλήρου ελέγχου ταυτότητας, καθώς και για APIs των οποίων τα μέτρα ελέγχου ταυτότητας είναι αδύναμα ή ελαττωματικά στον σχεδιασμό ή την υλοποίησή τους. Εν ολίγοις, ο «κατεστραμμένος έλεγχος ταυτότητας» είναι μια κατηγορία ελαττωμάτων που επιτρέπουν σε κακόβουλους λογαριασμούς να μιμούνται τους χρήστες για να αποκτήσουν πρόσβαση σε εφαρμογές χωρίς εξουσιοδότηση. Μπορούν να χρησιμοποιήσουν αυτήν την πρόσβαση για να κλέψουν δεδομένα, να αναλάβουν λογαριασμούς και να ολοκληρώσουν συναλλαγές χωρίς να το γνωρίζει ο ιδιοκτήτης του λογαριασμού. Πολλές καταστροφικές επιθέσεις σε οργανισμούς υψηλού προφίλ έχουν χρησιμοποιήσει broken user authentication για τη λήψη πληροφοριών ή την πρόσβαση στις βάσεις δεδομένων των επιχειρήσεων.

Οι προγραμματιστές και οι ομάδες ασφαλείας προκειμένου να αποτρέψουν αυτές τις επιθέσεις πρέπει να κατανοούν την ασφάλεια API και να λαμβάνουν τα απαραίτητα μέτρα. Η εφαρμογή ελέγχων πρόσβασης για όλα τα ευαίσθητα δεδομένα και περιοχές είναι ζωτικής σημασίας, καθώς ο σκοπός του ελέγχου ταυτότητας είναι να παραχωρήσει σε έναν χρήστη πρόσβαση σε έναν πόρο που περιορίζεται από όσους δεν μπορούν να ελέγξουν την ταυτότητά τους. Όπως θα επιβεβαιώσουν οι έμπειροι χάκερς, τα διακριτικά πρόσβασης αποτελούν σημαντικό μέρος της ασφάλειας ενός API. Τα διακριτικά πρέπει να είναι αρκετά μεγάλα και απρόβλεπτα. Εάν προέρχονται από πληροφορίες χρήστη, θα πρέπει να είναι πλήρως κρυπτογραφημένες με μυστικά κλειδιά για να αποτρέπονται οι εισβολείς από το να μαντέψουν το διακριτικό και να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση.

Τεύχος 230