Egy azonosító átírása is elég lehet
Ha az API nem ellenőrzi, hogy a kért adat valóban a felhasználóé-e, egy szám átírásával más ügyfelek adatai is lekérhetők.
Az OWASP API Top 10 listáján ez a hibatípus áll az első helyen.
API-tesztelés
Mit érhet el egy támadó az API-kon keresztül?
Megnézzük, hozzáférhet-e egy támadó más ügyfelek adataihoz vagy védett funkciókhoz pusztán az API-kérések módosításával.
Üzleti kockázat
Nem minden támadás látszik betörésnek.
Az API-k összekapcsolják a rendszereket és az üzleti folyamatokat. Ha a jogosultságkezelés vagy az üzleti logika hibás, egy szabályosnak tűnő kérés is hozzáférést adhat védett adatokhoz vagy műveletekhez – akár riasztás nélkül.
Luxusszoba egy centért
Spanyolországban egy hacker egy eurocentért foglalt luxusszállodai szobákat, mert a foglalási rendszer nem ellenőrizte, hogy a kifizetett összeg megfelel-e az árnak.
Nem technikai bravúr volt, hanem üzleti logikai hiba: pontosan az, amit egy API-teszt keres.
A visszaélés rejtve maradhat
A hibás API adatok kiszivárgását, módosítását vagy jogosulatlan felhasználását is lehetővé teheti.
Mindez gyakran hibaüzenet vagy biztonsági riasztás nélkül történik.
Minden megállapításhoz bizonyítékot és konkrét javítási lépéseket adunk, a fejlesztőcsapat számára követhető formában. Ha mobilalkalmazás vagy webes felület is épül az API-ra, a vizsgálat azokkal együtt is kérhető.
Konzultáció kéréseMódszertan
Így vizsgáljuk az API-kat a támadók szemszögéből.
A vizsgálat az API-k működésének és üzleti szerepének megértésével kezdődik. Automatizált ellenőrzéseket manuális teszteléssel és valós támadási forgatókönyvekkel kombinálunk, hogy a gyakori sérülékenységek mellett a nehezebben észrevehető logikai hibák is kiderüljenek.
- API-végpontok
- Kapcsolódó integrációk
- Kritikus üzleti folyamatokat támogató rendszerek
- Az OWASP API Security Top 10 (2023) kockázatai
- Hitelesítési és jogosultságkezelési hibák
- Adatkitettség és hibás beállítások
- Visszaélés a meglévő API-funkciókkal
- Jogosultságszint-emelés lehetőségei
- Üzleti folyamatok manipulálása
- Eltérések a dokumentáció és a működés között
- Hiányzó ellenőrzési szabályok
- Kihasználható tervezési feltételezések
- Adatáramlás a rendszerek között
- A szolgáltatások együttműködése
- A kialakításba épült feltételezések
- Kihasználhatóság valós helyzetekben
- Az érintett környezetre gyakorolt hatás
- Konkrét, megvalósítható javítási lépések
Cikkek
API-biztonság a gyakorlatban.
Egy API a dokumentáció alapján biztonságosnak tűnhet, de a valós használat során mégis támadható lehet. Cikkeinkben megmutatjuk, hogyan vezetnek a hibás feltételezések és az üzleti logika gyengeségei kihasználható sérülékenységekhez.
Konzultáció
A biztonság egy beszélgetéssel kezdődik.
Sablonos értékesítési bemutató helyett beszéljünk arról, hogyan érintik vállalatát az üzletmenet-folytonossági és működési kockázatok.